JVNDB-2026-020917

MISP projectのMalware Information Sharing Platform (MISP)における認証の欠如に関する脆弱性

MISP Coreには、イベントレポートおよび共有グループの一括削除処理においてアクセス制御の欠陥がありました。影響を受けるdeleteSelectionハンドラーは、各選択オブジェクトの認可を検証する代わりに、広範なロールレベルの権限で削除を許可していました。イベントレポートに関しては、EventReportsController::deleteSelectionはレポートごとの所有権や認可チェックを行わず、グローバルなperm_add権限に依存していました。そのため、寄稿者レベルのユーザーが他組織のレポートIDまたはUUIDを送信し、インスタンス全体でハード削除できる状態でした。修正により削除前に各選択レポートについてEventReport::fetchIfAuthorized($user, $itemId, 'delete')が呼ばれるようになりました。共有グループに関しては、SharingGroupsController::deleteSelectionが各選択共有グループの所有権を検証せず、グローバルなperm_sharing_group権限に依存していました。これにより、共有グループ権限を持つユーザーが他組織の共有グループをハード削除でき、単一オブジェクト削除時に使用される所有権ゲートを回避していました。修正で各選択共有グループに対しSharingGroup::checkIfOwner($user, $itemId)が呼ばれるように変更されました。認証済みで該当の広範なロール権限を持つ攻撃者は、影響を受ける一括削除エンドポイントを悪用し、自組織の認可範囲外のオブジェクトを削除できるため、インスタンス全体でイベントレポート内容や共有グループ設定が失われる可能性があります。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.42 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-56423

1. National Vulnerability Database (NVD) : CVE-2026-56423
2. 関連文書 : fix: [security] DPT-1 broken access control in SharingGroups deleteSe…  MISP/MISP@f99b3f1  GitHub
3. 関連文書 : fix: [security] DPT-1 broken access control in EventReports deleteSel…  MISP/MISP@ada02fa  GitHub

• [2026年06月26日]
    掲載