CVE-2026-85221
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.1%
- CWE
- CWE-295
- KEV Durumu
- Hayır
Yayım tarihi: 3 Eylül 2026
Etkilenen: misp-project misp
MISP, CurlClient'de uygun olmayan bir TLS sertifika doğrulama açığı içerir. CurlClient::$verifyPeer özelliği açıkça başlatılmamış ve bu nedenle null değerini almıştır. cURL'e geçirildiğinde, bu değer etkili bir şekilde TLS eş doğrulamasını devre dışı bırakmıştır, trừ ki çağıran kod bunu açıkça etkinleştirmiştir. Sonuç olarak, etkilenen CurlClient örnekleri aracılığıyla yapılan HTTPS bağlantıları, güvenilir bir sertifika otoritesi tarafından verilmeyen sertifikaları kabul edebilir. Ağ trafiğini MISP örneği ve uzak bir HTTPS hizmeti arasında engelleyebilecek veya değiştirebilecek bir saldırgan, uzak uç noktanın kimliğini taklit edebilir ve bir man-in-the-middle saldırısı gerçekleştirebilir. Başarılı bir saldırı, bir saldırganın MISP tarafından iletilen duyarlı bilgileri, kimlik doğrulama materyali veya paylaşılan tehdit istihbaratı dahil olmak üzere gözlemesine ve MISP örneğine geri dönen yanıtları değiştirmesine izin verebilir. Etki, CurlClient'ı kullanan işlevsellik ve uzak hizmetle değiştirilen veriler bağlıdır. Yama, yapılandırılmış kendi kendini imzalayan sertifikalar için açık destek korurken, varsayılan olarak TLS eş doğrulamasını etkinleştirir. Ayrıca, SyncTool'da kendi kendini imzalayan sertifika işlemini düzeltir, böylece eş doğrulaması, yapılandırılmış bir CA sertifika pinlenmediği sürece devre dışı bırakılır.
Orijinal açıklama (İngilizce)
MISP contains an improper TLS certificate validation vulnerability in CurlClient. The CurlClient::$verifyPeer property was not explicitly initialized and therefore defaulted to null. When passed to cURL, this value effectively disabled TLS peer verification unless the calling code explicitly enabled it. As a result, HTTPS connections made through affected CurlClient instances could accept certificates that were not issued by a trusted certificate authority. An attacker capable of intercepting or manipulating network traffic between a MISP instance and a remote HTTPS service could impersonate the remote endpoint and perform a man-in-the-middle attack. Successful exploitation could allow an attacker to observe sensitive information transmitted by MISP, including authentication material or exchanged threat intelligence, and to modify responses returned to the MISP instance. The impact depends on the functionality using CurlClient and the data exchanged with the remote service. The patch enables TLS peer verification by default while preserving explicit support for configured self-signed certificates. It also corrects the self-signed certificate handling in SyncTool so that peer verification is disabled only when no pinned CA certificate is configured.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.