CVE-2026-85221 in MISP
Riassunto
di VulDB • 03/09/2026
MISP presenta una vulnerabilità di errata validazione dei certificati TLS nel componente CurlClient. La proprietà `CurlClient::$verifyPeer` non era inizializzata esplicitamente e pertanto assumeva il valore predefinito di null. Quando tale valore veniva passato a cURL, disabilitava efficacemente la verifica del peer TLS, a meno che il codice chiamante non lo abilitasse esplicitamente.
Di conseguenza, le connessioni HTTPS effettuate tramite istanze di CurlClient affette potevano accettare certificati non emessi da un'autorità di certificazione (CA) attendibile. Un attaccante in grado di intercettare o manipolare il traffico di rete tra un'istanza MISP e un servizio HTTPS remoto potrebbe impersonare l'endpoint remoto ed eseguire un attacco man-in-the-middle.
Un'esecuzione con successo dell'exploit potrebbe consentire all'attaccante di osservare informazioni sensibili trasmesse da MISP, inclusi materiali di autenticazione o intelligence sulle minacce scambiata, nonché di modificare le risposte restituite all'istanza MISP. L'impatto dipende dalla funzionalità che utilizza CurlClient e dai dati scambiati con il servizio remoto.
La patch abilita la verifica del peer TLS per impostazione predefinita, preservando il supporto esplicito per i certificati self-signed configurati. Corregge inoltre la gestione dei certificati self-signed in SyncTool, in modo che la verifica del peer venga disabilitata solo quando non è configurato alcun certificato CA pinned (ancorato).
If you want to get best quality of vulnerability data, you may have to visit VulDB.