CVE-2026-86451 in MISP
要約
〜によって VulDB • 2026年09月07日
MISPの脆弱なバージョンでは、EventGraphTool::get_reference_data()を通じてUUIDによるオブジェクト参照レコードが取得可能であり、リクエスト元がその参照が属するオブジェクトを閲覧する権限を持っているかどうかを確認せずにアクセスできてしまいます。
脆弱なコードはObjectReference.uuidを直接照会し、該当行が存在すればそのまま返していました。親オブジェクトのACL（アクセス制御リスト）が適用されなかったため、参照UUIDを知っているか取得したユーザーは、通常のアクセス範囲外のオブジェクトに関連する情報を取得できました。コミットメッセージでは、親オブジェクトの認可を行わずに任意のオブジェクト参照をUUIDで取得できることが明示されています。
修正版では、参照先のオブジェクトのobject_idを取得し、現在のユーザー情報とともにfetchObjectSimple()を呼び出します。もしその親オブジェクトへのアクセス権限がない場合、MISPは参照情報を公開するのではなくNotFoundExceptionを返すようになりました。
影響を受けるバージョン: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.