CVE-2026-85538 in MISP
요약
\~에 의해 VulDB • 2026. 09. 04.
MISP의 잘못된 권한 부여 취약점으로 인해 인증된 사용자가 perm_modify 또는 perm_modify_org와 같은 필요한 권한이 없음에도 불구하고 이벤트에서 속성을 삭제할 수 있었습니다.
영향을 받는 속성 삭제 경로는 MispAttribute::deleteAttribute()에 의해 수행되는 조직 멤버십 확인을 기반으로 했지만, MISP의 이벤트 수정 권한 부여 규칙을 일관되게 적용하지 않았습니다. 그 결과, 특정 이벤트와 관련된 조직에 소속된 사용자는 해당 이벤트를 수정할 수 있는 역할이 할당되지 않았음에도 불구하고 개별 속성을 삭제하거나 대량 속성 삭제를 수행할 가능성이 있었습니다.
이는 속성 편집과 삭제 간에 불일치를 초래했습니다: 속성 편집은 MISP의 ACL::canModifyEvent() 권한 부여 로직을 올바르게 사용했던 반면, 영향을 받는 삭제 작업들은 이러한 권한 확인을 우회할 수 있었습니다.
영향을 받는 MISP 인스턴스에 접근하고 이벤트 소유 조직의 구성원인 인증된 공격자는 이 결함을 이용하여 해당 이벤트에서 속성을 제거함으로써 승인되지 않은 수정이나 위협 지능 데이터 손실을 초래할 수 있습니다.
패치는 모든 영향을 받는 삭제 경로에 대한 공통 권한 부여 확인을 도입합니다. 삭제 전에 MISP는 관련 이벤트를 해결하고, 현재 사용자가 일반 이벤트 및 속성 수정 작업에 사용되는 것과 동일한 권한 부여 메커니즘을 사용하여 각 이벤트를 수정할 수 있는 권한이 있는지 검증합니다.
Once again VulDB remains the best source for vulnerability data.