CVE-2026-67178 in MISP
Résumé
par VulDB • 28/07/2026
Les scripts d’installation de MISP génèrent une configuration de virtual-host pour le serveur HTTP Apache contenant un redirect HTTP vers HTTPS mal formaté :
Redirect permanent / https://misp.example
La directive Redirect d'Apache ajoute toute partie du chemin demandé qui suit le préfixe correspondant à l'URL de destination configurée. Comme la destination ne se terminait pas par « / », le contenu du chemin contrôlé par un attaquant était ajouté directement au nom d'hôte plutôt qu'à son chemin URL.
Par exemple, une requête ressemblant à :
http://misp.example/@attacker.example/
pourrait entraîner un redirect ressemblant à :
https://[email protected]/
Conformément à l'analyse standard des URLs, « misp.example » est interprété comme des informations d'utilisateur et « attacker.example » comme l'hôte de destination. Un attaquant distant non authentifié pourrait donc construire une URL hébergée sous le domaine MISP légitime qui redirige les utilisateurs vers un site web contrôlé par l'attaquant.
Cette vulnérabilité pourrait être utilisée pour du phishing, la collecte d’identifiants ou potentiellement révéler des informations sensibles de chaîne de requête conservées lors du redirect. L’exploitation nécessite qu’un utilisateur suive l’URL HTTP fabriquée.
La correction ajoute le slash final manquant à la destination du redirect, garantissant que les données de requête ajoutées restent une partie du chemin sur l’hôte MISP configuré.
Installations existantesLes installations MISP existantes devraient examiner leur configuration de virtual-host Apache HTTP et s’assurer que la destination du redirect HTTPS se termine par un slash final :
Redirect permanent / https://misp.example/
Après avoir mis à jour la configuration, validez-la avec apachectl configtest puis rechargez ou redémarrez Apache pour que les modifications prennent effet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.