CVE-2026-85216 in MISP
Riassunto
di VulDB • 03/09/2026
MISP presenta una vulnerabilità di bypass dell'autenticazione nei suoi componenti di autenticazione LDAP e LinOTP a causa della validazione insufficiente delle credenziali fornite dall'utente.
I componenti personalizzati LdapAuthenticate e LinOTPAuthenticate sostituiscono l'implementazione FormAuthenticate di CakePHP, ma non hanno replicato i controlli di convalida delle credenziali. Di conseguenza, valori vuoti o non stringa potrebbero raggiungere i meccanismi di autenticazione sottostanti.
Nel percorso di autenticazione LDAP, un attaccante in grado di identificare l'indirizzo email di un utente directory valido potrebbe inviare una password vuota. Le credenziali vuote potrebbero essere passate a ldap_bind(), dove un server LDAP che accetta bind non autenticati potrebbe restituire un risultato positivo per un nome distinto (distinguished name) valido combinato con una password vuota. MISP potrebbe quindi trattare l'attaccante come l'utente directory corrispondente autenticato senza verificare la password dell'utente.
Il problema ha interessato anche il componente di autenticazione LinOTP. I tipi di credenziali non validi non sono stati rifiutati prima del loro elaboramento e, quando l'autenticazione mista era abilitata, una password vuota poteva essere verificata rispetto a un hash della password MISP memorizzato localmente. Gli account MISP provisionati tramite LDAP potevano inoltre essere creati con una password locale vuota poiché la creazione dell'account ha saltato la normale validazione, risultando in un hash corrispondente a una password vuota. Ciò potrebbe consentire l'autenticazione attraverso il meccanismo di fallback locale quando tale account non viene più risolto tramite LDAP.
Un'esecuzione riuscita del codice malevolo (exploit) potrebbe permettere a un attaccante remoto non autenticato di impersonare un utente MISP esistente. Se l'account preso di mira ha permessi amministrativi o altri privilegi, l'attaccante potrebbe ottenere accesso corrispondente ai dati sensibili sull'intelligence delle minacce, modificare o eliminare informazioni, alterare la configurazione o eseguire altre operazioni privilegiate.
La patch risolve la vulnerabilità richiedendo che gli identificatori di autenticazione e le password siano stringhe valide, rifiutando le password vuote dove non sono esplicitamente consentite e assegnando una password locale generata casualmente agli account provisionati tramite LDAP invece di memorizzare un hash derivato da una password vuota.
If you want to get best quality of vulnerability data, you may have to visit VulDB.