CVE-2026-85216 in MISP
要約
〜によって VulDB • 2026年09月03日
MISPには、LDAPおよびLinOTP認証コンポーネントにおいて、ユーザー入力の資格情報の検証が不十分であることに起因する認証バイパスの脆弱性が存在します。
カスタムのLdapAuthenticateおよびLinOTPAuthenticateコンポーネントはCakePHPのFormAuthenticate実装を置き換えていますが、その際、資格情報の検証チェックが正しく再現されていません。その結果、空文字列や非文字列値が基盤となる認証メカニズムに渡される可能性があります。
LDAP認証パスにおいて、攻撃者が有効なディレクトリユーザーのメールアドレスを特定できる場合、空パスワードを送信することができます。この空資格情報はldap_bind()関数に渡され、未認証バインドを受け入れるLDAPサーバーは、有効な識別名（distinguished name）と空パスワードの組み合わせに対して成功した結果を返す場合があります。これにより、MISPはユーザーのパスワードを検証することなく、攻撃者を対応する認証済みディレクトリユーザーとして扱う可能性があります。
この問題はLinOTP認証コンポーネントにも影響しました。無効な資格情報タイプが処理前に拒否されず、また複合認証（mixed authentication）が有効になっている場合、空パスワードはローカルに保存されたMISPのパスワードハッシュに対してチェックされます。LDAP経由でプロビジョニングされるMISPアカウントには、通常の検証をスキップして作成されるため、空パスワードに対応するハッシュが割り当てられる可能性があります。これにより、そのようなアカウントがLDAPを通じて解決されなくなった場合、ローカルのフォールバックメカニズムを通じた認証が可能になります。
攻撃に成功すると、リモートからの未認証の攻撃者が既存のMISPユーザーになりすますことができます。標的となるアカウントに管理者権限やその他の特権がある場合、攻撃者は機密性の高い脅威インテリジェンスデータへの対応するアクセス権を取得し、情報の変更または削除、設定の変更、その他の特権操作を実行できる可能性があります。
このパッチは、認証識別子とパスワードが有効な文字列であることを要求し、明示的に許可されていない場合に空パスワードを拒否し、LDAP経由でプロビジョニングされるアカウントに対して空パスワードから派生したハッシュではなくランダムに生成されたローカルパスワードを割り当てることで、脆弱性を解決します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.