CVE-2026-85221

KrytyczneCVSS 9.1

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 10/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

MISP zawiera podatność polegającą na nieprawidłowej walidacji certyfikatów TLS w klasie CurlClient. Właściwość CurlClient::$verifyPeer nie była jawnie inicjalizowana i domyślnie przyjmowała wartość null, co po przekazaniu do cURL skutecznie wyłączało weryfikację certyfikatu serwera, o ile kod wywołujący nie włączył jej jawnie. W efekcie połączenia HTTPS mogły akceptować certyfikaty niepochodzące od zaufanego urzędu certyfikacji.

Ocena ryzyka

Atakujący mogący przechwycić lub zmodyfikować ruch sieciowy między instancją MISP a zdalną usługą HTTPS może podszyć się pod zdalny punkt końcowy i przeprowadzić atak man-in-the-middle. Może to pozwolić na podejrzenie wrażliwych informacji przesyłanych przez MISP, w tym danych uwierzytelniających lub wymienianych informacji o zagrożeniach, oraz na modyfikowanie odpowiedzi zwracanych do instancji MISP.

Rekomendacja

Należy jak najszybciej zainstalować dostępną aktualizację, która domyślnie włącza weryfikację certyfikatów TLS w CurlClient i poprawia obsługę certyfikatów samopodpisanych w SyncTool. Do czasu wdrożenia poprawki zaleca się ograniczenie lub monitorowanie połączeń wychodzących MISP do zdalnych usług HTTPS.

Inne podatności w MISP

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

MISP contains an improper TLS certificate validation vulnerability in CurlClient. The CurlClient::$verifyPeer property was not explicitly initialized and therefore defaulted to null. When passed to cURL, this value effectively disabled TLS peer verification unless the calling code explicitly enabled it. As a result, HTTPS connections made through affected CurlClient instances could accept certificates that were not issued by a trusted certificate authority. An attacker capable of intercepting or manipulating network traffic between a MISP instance and a remote HTTPS service could impersonate the remote endpoint and perform a man-in-the-middle attack. Successful exploitation could allow an attacker to observe sensitive information transmitted by MISP, including authentication material or exchanged threat intelligence, and to modify responses returned to the MISP instance. The impact depends on the functionality using CurlClient and the data exchanged with the remote service. The patch enables TLS peer verification by default while preserving explicit support for configured self-signed certificates. It also corrects the self-signed certificate handling in SyncTool so that peer verification is disabled only when no pinned CA certificate is configured.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS