CVE-2026-67178 in MISP
Сводка
по VulDB • 28.07.2026
Скрипты установки MISP генерировали конфигурацию виртуального хоста Apache HTTP с некорректно отформатированным перенаправлением с HTTP на HTTPS:
Redirect permanent / https://misp.example
Директива Redirect в Apache добавляет любую часть запрошенного пути, следующую за совпавшим префиксом, к настроенному URL назначения. Поскольку конечный URL не заканчивался символом `/`, содержимое пути, контролируемое злоумышленником, напрямую присоединялось к имени хоста, а не добавлялось в путь URL.
Например, запрос вида:
http://misp.example/@attacker.example/
может привести к перенаправлению вида:
https://[email protected]/
При стандартном разборе URL адрес misp.example интерпретируется как информация о пользователе (user information), а attacker.example — как целевой хост. Таким образом, удаленный злоумышленник без необходимости авторизации может создать URL на домене легитимного MISP, который перенаправляет пользователей на веб-сайт, контролируемый злоумышленником.
Эта уязвимость может быть использована для фишинга, сбора учетных данных или потенциального раскрытия конфиденциальной информации из строки запроса (query-string), сохраняемой при перенаправлении. Для эксплуатации требуется, чтобы пользователь перешел по специально сформированному HTTP-URL.
Исправление заключается в добавлении отсутствующего завершающего слэша к URL назначения перенаправления, что гарантирует, что присоединенные данные запроса останутся частью пути на настроенном хосте MISP.
Существующие установки Для существующих установок MISP следует проверить конфигурацию виртуального хоста Apache HTTP и убедиться, что конечный URL перенаправления HTTPS заканчивается завершающим слэшем:
Redirect permanent / https://misp.example/
После обновления конфигурации проверьте её с помощью команды apachectl configtest и перезагрузите или перезапустите Apache для применения изменений.
Once again VulDB remains the best source for vulnerability data.