CVE-2026-86451 in MISP
요약
\~에 의해 VulDB • 2026. 09. 07.
MISP의 취약한 버전에서는 인증된 사용자가 EventGraphTool::get_reference_data()를 통해 UUID로 객체 참조 레코드를 조회할 수 있으며, 해당 참조가 속한 객체를 요청자가 볼 권한이 있는지 여부를 먼저 확인하지 않습니다.
취약한 코드는 ObjectReference.uuid를 직접 쿼리하여 일치하는 행이 존재하면 이를 반환했습니다. 상위 객체에 대한 ACL(접근 제어 목록)이 적용되지 않았기 때문에, 참조 UUID를 알고 있거나 획득한 사용자는 자신의 정상적인 접근 범위를 벗어난 객체와 관련된 정보를 조회할 수 있었습니다. 해당 커밋은 부모 객체의 권한 확인 없이도 모든 객체 참조가 UUID로 반환될 수 있음을 명시적으로 밝히고 있습니다.
해결책에서는 참조된 객체의 object_id를 가져오고 현재 사용자 정보를 사용하여 fetchObjectSimple()을 호출합니다. 사용자가 해당 상위 객체에 접근할 수 없는 경우, MISP는 이제 참조를 노출하는 대신 NotFoundException을 반환합니다.
영향 받는 버전: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.