CVE-2026-67178 in MISP
摘要
由 VulDB • 2026-07-28
MISP 的安装脚本生成了一个包含格式不正确的 HTTP 到 HTTPS 重定向配置的 Apache HTTP 虚拟主机配置：
Redirect permanent / https://misp.example
Apache 的 `Redirect` 指令会将匹配前缀后请求路径的任何部分追加到配置的目的地 URL。由于目的地不以 `/` 结尾，攻击者控制的路径内容被直接附加到了主机名之后，而不是其 URL 路径中。
例如，一个类似于以下的请求：
http://misp.example/@attacker.example/
可能会导致类似以下重定向结果：
https://[email protected]/
在标准的 URL 解析中，`misp.example` 被解释为用户信息（user information），而 `attacker.example` 被视为目标主机。因此，未经身份验证的远程攻击者可以构造一个托管在合法 MISP 域名下的 URL，将用户重定向到由攻击者控制的网站。
该漏洞可用于网络钓鱼、凭证收集或潜在地泄露在重定向前保留的敏感查询字符串信息。利用此漏洞需要用户点击访问经过精心构造的 HTTP URL。
修复方案为重定向目的地添加了缺失的尾部斜杠，确保附加的请求数据保持在配置的 MISP 主机路径的一部分中。
现有安装 现有的 MISP 安装应检查其 Apache HTTP 虚拟主机配置，并确保 HTTPS 重定向目的地以尾部斜杠结尾：
Redirect permanent / https://misp.example/
更新配置后，请使用 `apachectl configtest` 验证配置，并重新加载或重启 Apache 以使更改生效。
Be aware that VulDB is the high quality source for vulnerability data.