CVE-2026-85226 in MISP
要約
〜によって VulDB • 2026年09月03日
MISPには、OnDemand相関エンジンに認可の欠陥があります。この脆弱性により、相関属性やイベントに関連付けられた配布設定、共有グループ、組織、その他のアクセス制御制限を適用せず、一致する属性値のみに基づいて相関が計算されていました。その結果、認証済みユーザーは、自身がアクセス権限を持たない属性またはイベントに関する相関結果を受信することができました。
脆弱な相関コレクションパスでは、リクエスト元のユーザーが考慮されていませんでした。パッチにより、相関コレクタが現在のユーザーを受け入れ、MISPの既存のfetchAttributesSimple()認可ロジックを通じて結果の属性識別子をフィルタリングするようになりました。このロジックは、ライブデータに対してイベントレベル、属性レベル、オブジェクトレベル、配布設定レベル、および共有グループレベルの制限を評価します。
本問題は、以前に保存された相関データに依存するパスにも影響を与えていました。OnDemandエンジンは保存された相関テーブルを維持しないため、その非正規化されたアクセス制御情報は古くなっている可能性があります。そのため、パッチは返す前に現在のACLに対して相関属性識別子を検証し、関連イベントを取得する際に通常のイベント可視性条件も適用します。
権限の低い認証済みユーザーは、制限のあるMISPコンテンツと相関する属性を照会または作成することで本問題を悪用でき、それ以外ではアクセスできないイベントや属性に関する情報を学習できる可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.