CVE-2026-85216

KrytyczneCVSS 9.5

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Streszczenie

MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.

Ocena ryzyka

Zdalny, nieuwierzytelniony atakujący może podszyć się pod istniejącego użytkownika MISP, w tym administratora, uzyskując dostęp do wrażliwych danych o zagrożeniach, możliwość ich modyfikacji, usuwania, zmiany konfiguracji lub wykonywania innych uprzywilejowanych operacji.

Rekomendacja

Należy natychmiast zastosować poprawkę dostarczoną przez producenta, która wymusza walidację identyfikatorów i haseł jako ciągów znaków, odrzuca puste hasła tam, gdzie nie są dozwolone, oraz przypisuje losowe hasło lokalne kontom provisionowanym przez LDAP. Po aktualizacji zaleca się audyt istniejących kont pod kątem pustych haseł.

Inne podatności w MISP

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

MISP contains an authentication bypass vulnerability in its LDAP and LinOTP authentication components due to insufficient validation of user-supplied credentials. The custom LdapAuthenticate and LinOTPAuthenticate components replace CakePHP's FormAuthenticate implementation but did not replicate its credential validation checks. As a result, empty or non-string values could reach the underlying authentication mechanisms. In the LDAP authentication path, an attacker able to identify a valid directory user's email address could submit an empty password. The empty credential could be passed to ldap_bind(), where an LDAP server accepting unauthenticated binds may return a successful result for a valid distinguished name combined with an empty password. MISP could consequently treat the attacker as the corresponding authenticated directory user without verification of the user's password. The issue also affected the LinOTP authentication component. Invalid credential types were not rejected before being processed, and when mixed authentication was enabled, an empty password could be checked against a locally stored MISP password hash. LDAP-provisioned MISP accounts could additionally be created with an empty local password because account creation skipped normal validation, resulting in a hash corresponding to an empty password. This could permit authentication through the local fallback mechanism when such an account was no longer resolved through LDAP. Successful exploitation could allow a remote unauthenticated attacker to impersonate an existing MISP user. If the targeted account has administrative or other privileged permissions, the attacker could gain corresponding access to sensitive threat-intelligence data, modify or delete information, alter configuration, or perform other privileged operations. The patch resolves the vulnerability by requiring authentication identifiers and passwords to be valid strings, rejecting empty passwords where they are not explicitly permitted, and assigning a randomly generated local password to LDAP-provisioned accounts instead of storing a hash derived from an empty password.