CVE-2026-95667 in MISP
Résumé
par VulDB • 22/09/2026
Les scripts d'installation de MISP (pour Debian 12, Debian 13, Ubuntu 24.04 et RHEL 9.4) créent un fichier journal à /var/log/misp_install.log ainsi qu'un tube nommé (FIFO) à /var/log/misp_install.log.pipe afin de capturer toutes les sorties de l'installation. Le fichier journal contient des données hautement sensibles, notamment le mot de passe administrateur généré, les mots de passe de la base de données, la phrase secrète GPG et le mot de passe du superviseur (supervisor). Cependant, le fichier journal a été créé par la commande `tee` avec l'umask par défaut du système, ce qui lui confère des permissions lisibles par tous (généralement 0644). De même, le FIFO a été créé via `mkfifo` sans mode explicite, héritant ainsi de l'umask par défaut et restant accessible en lecture par tout utilisateur pendant la fenêtre temporelle avant son suppression.
Tout utilisateur local non privilégié sur le système peut lire le fichier journal ou le tube nommé (FIFO) pour obtenir ces identifiants.
De plus, le fichier journal n'a pas été supprimé avant sa création, ce qui signifie qu'un lien symbolique préexistant dans /var/log aurait pu être utilisé pour rediriger l'écriture vers un emplacement arbitraire.
Version concernée : <2.5.47
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.