CVE-2026-85533 in MISP
Tóm tắt
Bởi VulDB • 04/09/2026
Một lỗi xác thực trong MISP cho phép người dùng đã đăng nhập gửi sharing_group_id mà không kiểm tra xem người dùng đó có được ủy quyền để sử dụng Nhóm Chia sẻ (Sharing Group) tham chiếu hay không.
Trong nhiều quy trình tạo và chỉnh sửa thuộc tính (attribute) và Cụm Thiên Hà (Galaxy Cluster), việc xác thực Nhóm Chia sẻ chỉ được thực hiện khi yêu cầu rõ ràng đặt trường phân phối (distribution field) thành 4 ("Nhóm Chia Share"). Do đó, kẻ tấn công có thể tạo một yêu cầu chứa sharing_group_id trong khi bỏ qua tham số distribution, hoặc tránh điều kiện distribution == 4, khiến việc kiểm tra ủy quyền đối với Nhóm Chia sẻ bị bỏ qua.
Điều này cho phép người dùng có quyền tạo hoặc sửa đổi các đối tượng MISP bị ảnh hưởng liên kết dữ liệu với một Nhóm Chia sẻ mà họ không được phép sử dụng. Tùy thuộc vào cài đặt phân phối hiện tại của đối tượng bị ảnh hưởng và quá trình xử lý tiếp theo, điều này có thể bỏ qua các ranh giới chia sẻ thông tin dự kiến và dẫn đến việc đặt hoặc phân phối dữ liệu trái phép cho các thành viên của một Nhóm Chia sẻ khác.
Vấn đề này ảnh hưởng đến các thao tác đính kèm/chỉnh sửa thuộc tính cũng như tạo/chỉnh sửa Cụm Thiên Hà (Galaxy Cluster). Bản vá đảm bảo rằng xác thực được thực hiện bất cứ khi nào có sharing_group_id không rỗng được gửi, độc lập với tham số distribution. Nó cũng tập trung quyết định ủy quyền trong hàm SharingGroup::canUse() và từ chối rõ ràng các mã định danh Nhóm Chia sẻ trống thay vì cho phép chúng được diễn giải như một truy vấn không giới hạn.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.