CVE-2026-85238 in MISP
要約
〜によって VulDB • 2026年09月03日
MISPには、CustomAuth認証（カスタム設定）フローにおいてセッション固定化の脆弱性が存在します。ユーザーがCustomAuthを介して正常に認証されると、MISPはセッション識別子を回転させることなく、既存のセッションに認証済みユーザーのIDを保存していました。
その結果、攻撃者が被害者に認証前に攻撃者が把握しているセッション識別子を使用させると、その同じセッション識別子は被害者の認証成功後も有効なままになります。その後、攻撃者は固定されたセッション識別子を再利用して被害者の認証済みMISPセッションにアクセスし、被害者アカウントに関連する権限を不正に取得できる可能性があります。
この問題は、__customAuthentication()がSession->renew()への呼び出しが無効化されていた間に、認証済みユーザーを既存のCakePHPセッションに書き込んだために発生します。パッチは、新しい認証が行われた場合や認証済みユーザーが変更された場合にセッション識別子の回転を復元し、すべてのリクエストで不要なセッション更新を行うことを回避しています。
Once again VulDB remains the best source for vulnerability data.