JVNDB-2026-032896

MISP projectのMalware Information Sharing Platform (MISP)における複数の脆弱性

影響を受けるバージョンのMISPには、フィード取得およびTAXII検出機能におけるサーバー側のアウトバウンドHTTP宛先の検証が不十分という問題があります。フィード処理では、リダイレクトのスキームや宛先を検証せずに追従していました。元のリクエストヘッダーはリダイレクトをまたいで再利用されていたため、フィード用に設定された認証ヘッダーやAPI認証情報が別のホストに転送される可能性がありました。リダイレクトは内部ネットワークのリソースを対象とすることも可能であり、その結果SSRFが発生するリスクがありました。修正ではリダイレクトの検証を追加し、クロスホストリダイレクト時に内部宛先をブロックしています。また、別ホストへリダイレクトする前に設定されたフィード認証情報を削除し、検証済みDNS結果を固定化して検証後の再解決を防止しています。TAXII検出エンドポイントにも関連する未完成のSSRF防御がありました。gethostbyname()を使用し、結果をいくつかのリテラルアドレスとしか比較していなかったため、IPv6ループバック(::1)、0x7f000001などの数値ホストエンコーディング、および複数DNSレコードのケースを見逃していました。修正ではTAXII検出を共有のURLアウトバウンド検証機能に移行しています。これらの修正により、MISPのアウトバウンドURL処理は代替アドレス表現やDNS関連のバイパス、不安全なリダイレクト、内部ホストアクセス、およびクロスホスト認証情報転送に対して強化されました。対象バージョンは2.5.45以下です。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.45 およびそれ以前

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 情報漏えい(CWE-200) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-86419

1. National Vulnerability Database (NVD) : CVE-2026-86419
2. 関連文書 : fix: [security] Stop feed redirects leaking credentials and reaching …  MISP/MISP@08d6efe  GitHub
3. 関連文書 : fix: [security] Put the TAXII discovery check on the shared validator  MISP/MISP@06f541d  GitHub

• [2026年09月11日]
    掲載