JVNDB-2026-021203

MISP projectのMalware Information Sharing Platform (MISP)におけるセッションの固定化の脆弱性

Azure Active Directory (AAD) の認証実装には、OAuth 2.0 認可フローにおいて複数の脆弱性が存在し、攻撃者がプロトコルによって提供される重要なセキュリティ保証を回避できる可能性がありました。アプリケーションは PHP のセッション識別子（session_id()）を OAuth の state パラメータとして使用していました。セッション識別子は長期間有効な認証情報であるため、OAuth リダイレクト URL にこれが露出すると、ブラウザ履歴、HTTP Referer ヘッダー、リバースプロキシ、アクセスログ、あるいは認証フローに関与するサードパーティのインフラ経由で有効なセッショントークンが漏洩する恐れがあります。攻撃者にこれが取得された場合、漏洩したセッション識別子を使ってセッションハイジャックが行われる可能性があります。さらに、認証成功後にセッション識別子を再生成していなかったため、認証済みセッションはセッションフィクセーション攻撃に対して脆弱でした。攻撃者が被害者に既知のセッション識別子をログイン前に使わせ、認証後にそれを再利用できる状況が発生します。OAuth の state 値も専用の一回限りの nonce として実装されておらず、これにより CSRF 対策が弱まり、OAuth コールバックプロセスに対するリプレイ攻撃のリスクが高まっていました。また、認証フローでは設定された OAuth リダイレクト URI に HTTPS を強制しておらず、非 HTTPS のリダイレクト URI が使われた場合、OAuth 認可コードやアクセストークンが平文でネットワークを通過し、ネットワーク攻撃者に機密情報が露出する可能性がありました。最後に、OAuth エラー応答で攻撃者制御の GET パラメータがそのままログに記録され、攻撃者が制御文字や細工されたログ内容を注入することでログ偽造、ログインジェクション、監査記録の破損が引き起こされる恐れがありました。修正では、専用の暗号学的にランダムな OAuth state 値の導入、一回限りの状態検証および無効化、hash_equals() を用いた定数時間の状態比較、認証成功後のセッション識別子の回転、HTTPS のみを許可するリダイレクト URI の強制、OAuth エラーパラメータのサニタイズおよび長さ制限付きログ記録を行っています。これらは AAD 認証プラグイン (OAuth 2.0 / Azure Active Directory 統合) に関する問題を解決するための対策です。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.42 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. セッションの固定化(CWE-384) [その他]

1. CVE-2026-56425

1. National Vulnerability Database (NVD) : CVE-2026-56425
2. 関連文書 : fix: [security] AAD auth hardening  MISP/MISP@146bc40  GitHub

• [2026年06月29日]
    掲載