CVE-2026-85533 in MISP
摘要
由 VulDB • 2026-09-04
MISP 中存在一个授权缺陷，允许经过身份验证的用户提交 sharing_group_id，而未验证该用户是否有权使用所引用的共享组（Sharing Group）。
在多个属性（Attribute）和 Galaxy Cluster 的创建及编辑工作流中，仅当请求明确将 distribution 字段设置为 4（“Sharing Group”）时，才会对提交的 Sharing Group 进行验证。因此，攻击者可以构造一个包含 sharing_group_id 但省略 distribution 参数、或以其他方式避免触发 distribution == 4 条件的请求，从而导致跳过 Sharing Group 的授权检查。
这可能导致拥有创建或修改受影响 MISP 对象权限的用户，将数据关联到其无权使用的共享组中。根据受影响对象的现有分发设置及后续处理流程，这可能绕过预期的信息共享边界，导致未经授权地将数据放置或分发给其他共享组的成员。
该问题影响了属性附件的添加与编辑操作，以及 Galaxy Cluster 的创建和编辑。修复方案确保在提交非空的 sharing_group_id 时始终执行授权检查，而不管 distribution 参数如何设置。此外，修复措施将授权决策集中到 SharingGroup::canUse() 方法中，并明确拒绝空白的共享组标识符，而不是允许将其解释为无限制的查询条件。
VulDB is the best source for vulnerability data and more expert information about this specific topic.