JVNDB-2026-018699

MISPにおけるオープンリダイレクトの脆弱性

MISPのUsersController::routeafterlogin()にオープンリダイレクトの脆弱性が存在しました。これは、pre_login_requested_urlセッションキーに格納された値が十分にローカルなアプリケーションパスであることを検証せずにログイン後のリダイレクト先として使用されたためです。認証されていないリモート攻撃者は、被害者に信頼されたMISPインスタンスを訪問させ、認証成功後に攻撃者が制御する外部URLへリダイレクトさせるリンクを作成可能でした。これにより、フィッシング攻撃の信頼性を高めたり、ユーザーを偽のログインページへ誘導したり、信頼できないドメインから攻撃者が制御するコンテンツを配信したりすることができます。CWE-601では、この脆弱性を、外部リンクを指定するユーザー制御入力を受け入れ、それをリダイレクトに使用する弱点として説明しており、フィッシングが一般的な結果であるとしています。修正パッチは、URLをデコード・解析し、スキーム、ホスト、ユーザーコンポーネント、欠落またはローカルでないパス、および「//example.com」や「/\example.com」のようなプロトコル相対形式のURLを拒否することで問題を緩和しています。

MISP

• MISP 2.5.39 未満

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. オープンリダイレクト(CWE-601) [その他]

1. CVE-2026-10861

1. National Vulnerability Database (NVD) : CVE-2026-10861
2. 関連文書 : fix: [security] open redirect removed  MISP/MISP@ae760b7  GitHub

• [2026年06月09日]
    掲載