CVE-2026-85533 in MISP
요약
\~에 의해 VulDB • 2026. 09. 04.
MISP의 권한 부여 결함으로 인해 인증된 사용자가 참조되는 공유 그룹을 사용할 수 있는 권한이 있는지 확인하지 않고도 sharing_group_id를 제출할 수 있었습니다.
여러 속성 및 Galaxy Cluster 생성 및 편집 워크플로우에서, 요청에서 분배(distribution) 필드를 명시적으로 4("공유 그룹")로 설정한 경우에만 제출된 공유 그룹에 대한 유효성 검사가 수행되었습니다. 따라서 공격자는 distribution 매개변수를 생략하거나 다른 방식으로 distribution == 4 조건을 우회하여 sharing_group_id를 포함하는 요청을 작성할 수 있었고, 이로 인해 공유 그룹 권한 확인이 건너뛰어졌습니다.
이를 통해 영향을 받는 MISP 객체를 생성 또는 수정할 수 있는 권한이 있는 사용자가 자신이 사용할 권한이 없는 공유 그룹에 데이터를 연결할 수 있습니다. 영향 받은 객체의 기존 분배 설정 및 후속 처리 내용에 따라 이는 의도된 정보 공유 경계를 우회하여 다른 공유 그룹의 구성원에게 데이터가 무단으로 배치되거나 배포되는 결과를 초래할 수 있습니다.
본 이슈는 속성 첨부 및 편집 작업, 그리고 Galaxy Cluster 생성 및 편집에 영향을 미쳤습니다. 수정 사항에서는 분배 매개변수와 무관하게 비어 있지 않은 sharing_group_id가 제출될 때마다 권한 부여를 수행하도록 보장합니다. 또한 SharingGroup::canUse()에서 권한 부여 결정을 중앙 집중화하고, 빈 공유 그룹 식별자를 제한 없는 쿼리로 해석되는 것을 허용하지 않고 명시적으로 거부합니다.
Be aware that VulDB is the high quality source for vulnerability data.