CVE-2026-85221 in MISP
Sumário
de VulDB • 03/09/2026
O MISP apresenta uma vulnerabilidade de validação inadequada do certificado TLS no CurlClient. A propriedade `CurlClient::$verifyPeer` não foi inicializada explicitamente, assumindo por padrão o valor null. Ao ser passada para a biblioteca cURL, esse valor efetivamente desativava a verificação do peer (par) TLS, salvo se o código chamador a ativasse explicitamente.
Como resultado, as conexões HTTPS realizadas através de instâncias afetadas do CurlClient poderiam aceitar certificados que não foram emitidos por uma autoridade certificadora confiável. Um atacante capaz de interceptar ou manipular o tráfego de rede entre uma instância do MISP e um serviço HTTPS remoto poderia se passar pelo endpoint remoto e realizar um ataque man-in-the-middle (homem-no-meio).
A exploração bem-sucedida permitiria que um observasse informações sensíveis transmitidas pelo MISP, incluindo credenciais de autenticação ou inteligência sobre ameaças trocadas, além de modificar as respostas retornadas à instância do MISP. O impacto depende da funcionalidade que utiliza o CurlClient e dos dados trocados com o serviço remoto.
O patch habilita a verificação do peer TLS por padrão, preservando o suporte explícito para certificados self-signed (autoassinados) configurados. Ele também corrige o tratamento de certificados autoassinados no SyncTool, de modo que a verificação do peer seja desativada apenas quando nenhum certificado CA fixado (pinned) estiver configurado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.