CVE-2026-85237 in MISP
要約
〜によって VulDB • 2026年09月03日
MISPのメールベースの一時的パスワード（OTP）認証フローにおける脆弱性により、攻撃者は制限のない数のOTP検証試行を実行することができました。
email_otp()エンドポイントは、送信されたOTP値を検証する際にブルートフォース保護を適用していませんでした。例えばユーザーの主認証資格情報を正常に提供した後にOTP検証段階に至った攻撃者は、同じOTPが有効な間に候補となるOTP値を繰り返し提出でき、これによりOTPの推測および追加認証要素の回避の可能性が大幅に高まり、影響を受けたユーザーアカウントへの不正アクセスにつながる可能性があります。
この問題は、OTPが個々の保留中のログインセッションではなくユーザーに関連付けられていたため悪化しました。これにより、複数の同時セッションから同じ有効なOTPに対して推測を試みることが可能でした。
修正パッチは既存のMISPブルートフォース保護メカニズムをメールOTPフローに統合します。失敗したOTP試行はユーザーごとにカウントされ、設定された閾値に達するとさらに続行できなくなり、アクティブなOTPも試行予算が枯渇すると無効化されます。ブロックリストに登録されているユーザーについても新しいOTPの生成リクエストを行うことが防止されました。また、OTP比較にはhash_equals()を使用し、送信された値が文字列であることを検証するようになりました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.