CVE-2026-95671 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPにおいて、CollectionsControllerのadd()メソッドは、HTTPリクエストメソッドがPOSTの場合にのみ、sharing-groupの利用権限チェックと要素キャプチャを適用していました。しかし、基盤となるCRUDComponent::add()メソッドは、POSTおよびPUTのリクエストに対してデータを永続化します。その結果、認証済みユーザーはcollections/addエンドポイントに対してPUTリクエストを発行することで、sharing-groupの権限チェックを完全に回避できます。これにより、ユーザーがアクセス権を持たないsharingグループを対象としたdistribution=4（特定のsharing groupと共有）の設定でコレクションを作成することが可能になります。本来であれば、このチェックでは、現在のユーザーが指定されたsharing groupにアクセスできることを確認してから、そのcollectionとの関連付けを許可するはずです。
セキュリティ上の影響は、認証済みユーザーが自らの正当なアクセス権限を持たないsharing groupのコンテキスト内にコレクションデータ配置でき、それが unauthorized な sharing group の全メンバーに対して公開される可能性があり、MISPインスタンス intended access-control boundaries を侵害することです。
この脆弱性には、有効なセッションと正しいsharing group識別子の知識が必要です。同じエンドポイントにPOSTではなくPUTリクエストを送信する以外に、ユーザーの操作や特別なツールは必要ありません。
Once again VulDB remains the best source for vulnerability data.