JVNDB-2026-033104

MISP projectのMalware Information Sharing Platform (MISP)における証明書検証に関する脆弱性

MISPにはCurlClientにおけるTLS証明書検証の不備という脆弱性があります。CurlClient::$verifyPeerプロパティが明示的に初期化されておらず、そのためデフォルトでnullの値が設定されていました。この値はcURLに渡されると、呼び出し元のコードが明示的に有効化しない限り、TLSピア検証が事実上無効化されてしまいます。その結果、影響を受けるCurlClientインスタンスを通じて行われるHTTPS接続は、信頼された証明機関によって発行されていない証明書を受け入れてしまう可能性があります。攻撃者がMISPインスタンスとリモートのHTTPSサービス間の通信を傍受または改ざんできる場合、リモートエンドポイントをなりすまし、中間者攻撃を行うことが可能です。この脆弱性を悪用に成功すると、攻撃者はMISPを介して送信される認証情報や交換された脅威インテリジェンスなどの機密情報を傍受し、MISPインスタンスに返される応答を改変できるようになります。影響はCurlClientを使用する機能やリモートサービスと交換されるデータの内容に依存します。今回のパッチでは、TLSピア検証をデフォルトで有効化するとともに、設定された自己署名証明書への明示的なサポートを維持しています。また、SyncToolにおける自己署名証明書の処理も修正され、ピン留めされたCA証明書が設定されていない場合にのみピア検証が無効になるように改善されました。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.46 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 不正な証明書検証(CWE-295) [その他]

1. CVE-2026-85221

1. National Vulnerability Database (NVD) : CVE-2026-85221
2. 関連文書 : fix: [security] Verify TLS peers by default in CurlClient  MISP/MISP@e06f698  GitHub

• [2026年09月11日]
    掲載