CVE-2026-85226 in MISP
요약
\~에 의해 VulDB • 2026. 09. 03.
MISP의 OnDemand 상관관계 엔진에는 권한 부여 결함이 있습니다. 이 결함으로 인해 상관관계가 일치하는 속성 값만으로 계산되었으며, 연관된 속성과 이벤트에 적용되어야 하는 배포(distribution), 공유 그룹(sharing group), 조직(organization) 또는 기타 접근 제어 제한이 적용되지 않았습니다. 그 결과, 인증된 사용자가 자신이 액세스할 권한이 없는 속성이나 이벤트를 참조하는 상관관계 결과를 받을 수 있었습니다.
취약한 상관관계 수집 경로는 요청 사용자를 고려하지 않았습니다. 패치는 상관관계 컬렉터가 현재 사용자를 받아들이도록 변경하고, MISP의 기존 fetchAttributesSimple() 권한 부여 로직을 통해 결과 속성 식별자를 필터링합니다. 이 로직은 실시간 데이터에 대해 이벤트 수준, 속성 수준, 객체 수준, 배포 수준 및 공유 그룹 수준의 제한 사항을 평가합니다.
이 문제는 이전에 저장된 상관관계 데이터를 사용하는 경로에도 영향을 미쳤습니다. OnDemand 엔진은 저장된 상관관계 테이블을 유지하지 않으므로, 비정규화된 접근 제어 정보가 오래되었을(stale) 수 있습니다. 따라서 패치는 반환하기 전에 현재 ACL(접근 제어 목록)에 대해 연관된 속성 식별자를 검증하고, 관련 이벤트를 검색할 때 추가적으로 정상적인 이벤트 가시성 조건을 적용합니다.
권한이 낮은 인증된 사용자는 제한된 MISP 콘텐츠와 상관관계되는 속성을 쿼리하거나 생성하여 이 문제를 악용할 수 있으며, 이는 다른 방식으로 접근 불가능했던 이벤트나 속성에 대한 정보를 유출시킬 가능성이 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.