CVE-2026-85216
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.5%
- CWE
- CWE-521
- KEV Durumu
- Hayır
Yayım tarihi: 3 Eylül 2026
Etkilenen: misp-project misp
MISP, LDAP ve LinOTP kimlik doğrulama bileşenlerinde, kullanıcı tarafından sağlanan kimlik bilgilerinin yetersiz doğrulaması nedeniyle bir kimlik doğrulama atlatma zafiyeti içerir. Özel LdapAuthenticate ve LinOTPAuthenticate bileşenleri, CakePHP'nin FormAuthenticate uygulamasını değiştirir ancak kimlik bilgileri doğrulama kontrollerini çoğaltmaz. Sonuç olarak, boş veya dize dışı değerler altta yatan kimlik doğrulama mekanizmalarına ulaşabilir. LDAP kimlik doğrulama yolunda, geçerli bir dizin kullanıcısının e-posta adresini belirleyebilen bir saldırgan boş bir parola gönderebilir. Boş kimlik bilgisi, ldap_bind() işlevine geçirilebilir ve boş bir parola ile birleştirilmiş geçerli bir ayırt edici ad için başarılı bir sonuç döndüren bir LDAP sunucusu, MISP'nin saldırganı ilgili kimlik doğrulama dizin kullanıcısı olarak tedavi etmesine neden olabilir, kullanıcının parolası doğrulanmadan. Sorun, LinOTP kimlik doğrulama bileşenini de etkiler. Geçersiz kimlik bilgisi türleri işlenmeden önce reddedilmez ve karma kimlik doğrulama etkinleştirildiğinde, boş bir parola yerel olarak depolanan bir MISP parola karmasına karşı kontrol edilebilir. LDAP tarafından sağlanan MISP hesapları ayrıca normal doğrulamayı atlayarak boş bir yerel parola ile oluşturulabilir, bu da boş bir parolaya karşılık gelen bir karma oluşturur. Bu, böyle bir hesabın LDAP aracılığıyla artık çözümlenmediğinde yerel geri dönüş mekanizması aracılığıyla kimlik doğrulamayı sağlar. Başarılı bir saldırı, uzaktan kimlik doğrulamayı gerçekleştirmeyen bir saldırganın var olan bir MISP kullanıcısını taklit etmesine izin verebilir. Hedef hesap yönetici veya diğer ayrıcalıklı izinlere sahipse, saldırgan duyarlı tehdit istihbarat verilerine erişim kazanabilir, bilgiyi değiştirebilir veya silebilir, yapılandırmayı değiştirebilir veya diğer ayrıcalıklı işlemleri gerçekleştirebilir. Yama, zafiyeti gidermek için kimlik doğrulama tanımlayıcılarının ve parolaların geçerli dizeler olmasını gerektirir, boş parolaları açıkça izin verilmedikçe reddeder ve LDAP tarafından sağlanan hesaplar için yerel olarak oluşturulmuş bir parolayı boş bir paroladan türetilen bir karma yerine depolar.
Orijinal açıklama (İngilizce)
MISP contains an authentication bypass vulnerability in its LDAP and LinOTP authentication components due to insufficient validation of user-supplied credentials. The custom LdapAuthenticate and LinOTPAuthenticate components replace CakePHP's FormAuthenticate implementation but did not replicate its credential validation checks. As a result, empty or non-string values could reach the underlying authentication mechanisms. In the LDAP authentication path, an attacker able to identify a valid directory user's email address could submit an empty password. The empty credential could be passed to ldap_bind(), where an LDAP server accepting unauthenticated binds may return a successful result for a valid distinguished name combined with an empty password. MISP could consequently treat the attacker as the corresponding authenticated directory user without verification of the user's password. The issue also affected the LinOTP authentication component. Invalid credential types were not rejected before being processed, and when mixed authentication was enabled, an empty password could be checked against a locally stored MISP password hash. LDAP-provisioned MISP accounts could additionally be created with an empty local password because account creation skipped normal validation, resulting in a hash corresponding to an empty password. This could permit authentication through the local fallback mechanism when such an account was no longer resolved through LDAP. Successful exploitation could allow a remote unauthenticated attacker to impersonate an existing MISP user. If the targeted account has administrative or other privileged permissions, the attacker could gain corresponding access to sensitive threat-intelligence data, modify or delete information, alter configuration, or perform other privileged operations. The patch resolves the vulnerability by requiring authentication identifiers and passwords to be valid strings, rejecting empty passwords where they are not explicitly permitted, and assigning a randomly generated local password to LDAP-provisioned accounts instead of storing a hash derived from an empty password.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.