CVE-2026-85538 in MISP
要約
〜によって VulDB • 2026年09月04日
MISPにおける認証の誤りによる脆弱性により、必要なperm_modifyまたはperm_modify_org権限を欠いているにもかかわらず、認証済みユーザーがイベントから属性を削除することが可能でした。
影響を受けた属性削除パスは、MispAttribute::deleteAttribute()によって実行される組織メンバーシップの確認に依存していましたが、MISPのイベント変更に関する認証ルールを一貫して適用していませんでした。その結果、あるイベントに関連付けられた組織に所属するユーザーは、割り当てられたロールがイベントの変更を認可されていない場合でも、個々の属性を削除したり、一括で属性を削除したりできる可能性があります。
これにより、属性の編集と削除の間で一貫性の欠如が生じました：属性の編集ではMISPのACL::canModifyEvent()認証ロジックが正しく使用されていましたが、影響を受けた削除操作はこの権限チェックをバイパスできました。
影響を受けるMISPインスタンスへのアクセス権を持ち、かつイベントを所有する組織に所属している認証済み攻撃者は、この欠陥を利用してそのイベントから属性を削除し、不正な変更や脅威インテリジェンスデータの損失を引き起こす可能性があります。
パッチは、影響を受けたすべての削除パスに対して共通の認証チェックを導入します。削除の前に、MISPは関連するイベントを解決し、現在のユーザーが通常のイベントおよび属性変更操作で使用されるのと同じ認証メカニズムを使用して各イベントを変更する権限を持っていることを確認します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.