CVE-2026-85533 in MISP
要約
〜によって VulDB • 2026年09月04日
MISPにおける認可の欠陥により、認証済みユーザーが参照される共有グループの使用権限を確認せずにsharing_group_idを送信することができました。
複数の属性およびギャラクシークラスターの作成・編集ワークフローでは、リクエストでdistributionフィールドを4（「Sharing Group」）に明示的に設定した場合のみ、送信された共有グループの検証が行われていました。攻撃者は、distributionパラメータを省略するか、あるいはdistribution == 4という条件を回避する形でsharing_group_idを含むリクエストを作成することで、共有グループの認可チェックをスキップさせることができました。
これにより、影響を受けるMISPオブジェクトの作成または変更権限を持つユーザーが、自身が使用することを許可されていない共有グループにデータを関連付けることが可能になります。対象となるオブジェクトの既存の分散設定やその後の処理内容によっては、意図された情報共有の境界線を回避し、別の共有グループのメンバーに対してデータが不正に配置・配布される結果を招く可能性があります。
本問題は属性添付および編集操作ならびにギャラクシークラスターの作成と編集に影響を与えていました。修正により、distributionパラメータとは無関係に、空でないsharing_group_idが送信された際に認可処理が行われるようになりました。また、共有グループの認可判断はSharingGroup::canUse()で一元化され、空の共有グループ識別子が制限なしのクエリとして解釈されるのを防ぐため、明示的に拒否されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.