JVNDB-2026-033337

MISP projectのMalware Information Sharing Platform (MISP)におけるクロスサイトリクエストフォージェリの脆弱性

MISPのcullEmptyEventsアクションにはクロスサイトリクエストフォージェリ（CSRF）脆弱性が存在していました。このエンドポイントはHTTP GETリクエストを受け入れつつ、状態を変更し元に戻せない操作を行っていました。ボディのないGETリクエストはCakePHPのCSRF検証の対象外であるため、攻撃者は権限を持つ認証済みMISPユーザーのブラウザに埋め込み画像や自動要求されるリソースなどを通じて細工されたURLを読み込ませるだけで、そのエンドポイントを呼び出させることが可能でした。この脆弱性が悪用されると、公開された空のイベントが削除されます。特に重要なのは、この操作がskipBlocklistを使用しているため、削除されたイベントはブロックリストのエントリを残さず、その後の同期での防止や追跡ができなくなる点です。これにより、明示的なユーザーの操作なしにMISPイベントレコードが意図せず、または元に戻せない形で削除される可能性があります。この脆弱性は、cullEmptyEventsをHTTP POSTリクエストのみに制限することで対処され、CakePHPの通常のCSRF保護がこの操作に適用されるようになりました。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.45 およびそれ以前

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-85236

1. National Vulnerability Database (NVD) : CVE-2026-85236
2. 関連文書 : fix: [security] Require POST for the feed fetch, cache and toggle act…  MISP/MISP@50106c9  GitHub
3. 関連文書 : fix: [security] Require POST for pruneUpdateLogs and enableWarninglist  MISP/MISP@cfc8b8a  GitHub
4. 関連文書 : fix: [security] Require POST for the server sync, cache and JSON upda…  MISP/MISP@66ecb5a  GitHub
5. 関連文書 : fix: [security] Require POST for the blocklist delete action  MISP/MISP@9c1346c  GitHub
6. 関連文書 : fix: [security] Require POST for cullEmptyEvents  MISP/MISP@2b6b3ac  GitHub

• [2026年09月14日]
    掲載