JVNDB-2026-033105

MISP projectのMalware Information Sharing Platform (MISP)における脆弱なパスワードの要求に関する脆弱性

MISPは、ユーザー提供の資格情報の検証が不十分であったため、LDAPおよびLinOTP認証コンポーネントに認証バイパスの脆弱性が存在していました。カスタムのLdapAuthenticateおよびLinOTPAuthenticateコンポーネントはCakePHPのFormAuthenticateの実装を置き換えていましたが、その資格情報検証チェックを再現していませんでした。その結果、空または文字列でない値が基盤となる認証メカニズムに渡される可能性がありました。LDAP認証経路においては、有効なディレクトリユーザーのメールアドレスを特定した攻撃者が空のパスワードを送信することが可能でした。この空の資格情報はldap_bind()に渡され、認証されていないバインドを受け入れるLDAPサーバーが有効な識別名と空のパスワードの組み合わせに対して成功結果を返す場合があります。その結果、MISPはユーザーのパスワード検証を行わずに攻撃者を該当する認証済みディレクトリユーザーとして扱ってしまう可能性がありました。本問題はLinOTP認証コンポーネントにも影響を及ぼしました。不正な資格情報タイプが処理前に拒否されず、混合認証が有効な場合には空のパスワードがローカルに保存されたMISPパスワードハッシュと照合されることがありました。さらに、LDAPでプロビジョニングされたMISPアカウントは通常の検証をスキップして空のローカルパスワードで作成されていたため、その結果、空のパスワードに対応するハッシュが保存されていました。これにより、LDAP経由で認証できなくなった場合でもローカルのフォールバック認証を通じて認証が可能になる可能性があります。成功した攻撃により、リモートの認証されていない攻撃者が既存のMISPユーザーをなりすますことが可能になります。対象アカウントに管理者またはその他の特権権限が付与されている場合、攻撃者は機密の脅威インテリジェンスデータへのアクセス、情報の変更または削除、設定の変更、その他の特権操作を行うことができます。このパッチは、認証識別子とパスワードが有効な文字列であることを要求し、明示的に許可されていない空のパスワードを拒否します。また、LDAPプロビジョニングされたアカウントには空のパスワードから派生したハッシュを保存する代わりにランダムに生成されたローカルパスワードを割り当てることで、この脆弱性を解決します。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.46 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 脆弱なパスワードの要求(CWE-521) [その他]

1. CVE-2026-85216

1. National Vulnerability Database (NVD) : CVE-2026-85216
2. 関連文書 : fix: [security] Reject empty and non-string credentials in the LDAP a…  MISP/MISP@0ee0585  GitHub

• [2026年09月11日]
    掲載