JVNDB-2026-033103

MISP projectのMalware Information Sharing Platform (MISP)における認証の欠如に関する脆弱性

MISPのOnDemand相関エンジンには認可の欠陥があり、相関は関連付けられた属性およびイベントに対して配布、共有グループ、組織、その他のアクセス制御制限を適用せず、単に一致する属性値のみから計算されていました。その結果、認証済みユーザーがアクセス権のない属性やイベントに関連する相関結果を受け取る可能性がありました。脆弱な相関収集経路は要求元ユーザーを考慮していませんでした。パッチでは相関コレクターを変更し、現在のユーザー情報を受け入れて相関した属性識別子をMISPの既存のfetchAttributesSimple()認可ロジックを通じてフィルタリングします。このロジックはイベント、属性、オブジェクト、配布、共有グループレベルの制限をライブデータに対して評価します。本問題は以前に保存された相関データに依存する経路にも影響していました。OnDemandエンジンは保存された相関テーブルを維持しないため、その非正規化されたアクセス制御情報は古くなっている可能性があります。したがってパッチでは、相関された属性識別子を返す前に現在のACLに対して検証を行い、関連イベントを取得する際には通常のイベント可視性条件も適用します。認証された権限の低いユーザーは、この問題を悪用して制限されたMISPコンテンツと相関する属性を照会または作成することで、本来アクセスできないイベントや属性に関する情報を知り得る可能性があります。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.46 未満

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-85226

1. National Vulnerability Database (NVD) : CVE-2026-85226
2. 関連文書 : fix: [security] Enforce access control in the OnDemand correlation en…  MISP/MISP@f51342f  GitHub

• [2026年09月11日]
    掲載