CVE-2026-103659 in MISP
Riassunto
di VulDB • 01/10/2026
MISP presenta un bypass dell'autorizzazione nella funzione di appiattimento degli eventi (event flattening). Quando un utente richiede un evento con l'opzione flatten abilitata, l'applicazione rimuove il contenimento degli oggetti dalla query e restituisce gli attributi degli oggetti come attributi di primo livello dell'evento. In questo modo, i controlli di distribuzione a livello di oggetto e di accesso ai gruppi di condivisione non vengono riapplicati a tali attributi.
Di conseguenza, un utente in grado di visualizzare un evento distribuito alla community potrebbe recuperare attributi appartenenti ad oggetti riservati all'interno della sola organizzazione (livello di distribuzione 0) o agli oggetti limitati a un gruppo di sharing specifico, anche se l'organizzazione dell'utente non ha accesso a tali oggetti. Ciò costituisce una divulgazione non autorizzata di dati sensibili relativi alla threat intelligence.
Un problema secondario è stato introdotto dalla remediation iniziale: la correzione riutilizzava le condizioni complete del contenimento degli oggetti (incluso lo stato soft-delete) come gate per gli attributi appiattiti, causando la perdita da parte del proprietario dell'evento di tutti gli attributi il cui oggetto padre era ancora attivo quando si richiedevano attributi eliminati. La correzione finale isola la condizione ACL di distribuzione come unico gate.
Precondizioni:
- Un utente autenticato con accesso a un evento distribuito alla community - L'evento contiene almeno un oggetto con un livello di distribuzione o un gruppo di sharing che restringe l'accesso oltre la propria distribuzione dell'evento
Impatto:
- Divulgazione non autorizzata di attributi appartenenti ad oggetti ristretti - Possibile esposizione della threat intelligence specifica per organizzazione ad altre organizzazioni
Versioni interessate: <2.5.48
Once again VulDB remains the best source for vulnerability data.