MISP LDAP and LinOTP Authentication Bypass via Empty or Invalid Credentials

MISP contains an authentication bypass vulnerability in its LDAP and LinOTP authentication components due to insufficient validation of user-supplied credentials. The custom LdapAuthenticate and LinOTPAuthenticate components replace CakePHP's FormAuthenticate implementation but did not replicate its credential validation checks. As a result, empty or non-string values could reach the underlying authentication mechanisms. In the LDAP authentication path, an attacker able to identify a valid directory user's email address could submit an empty password. The empty credential could be passed to ldap_bind(), where an LDAP server accepting unauthenticated binds may return a successful result for a valid distinguished name combined with an empty password. MISP could consequently treat the attacker as the corresponding authenticated directory user without verification of the user's password. The issue also affected the LinOTP authentication component. Invalid credential types were not rejected before being processed, and when mixed authentication was enabled, an empty password could be checked against a locally stored MISP password hash. LDAP-provisioned MISP accounts could additionally be created with an empty local password because account creation skipped normal validation, resulting in a hash corresponding to an empty password. This could permit authentication through the local fallback mechanism when such an account was no longer resolved through LDAP. Successful exploitation could allow a remote unauthenticated attacker to impersonate an existing MISP user. If the targeted account has administrative or other privileged permissions, the attacker could gain corresponding access to sensitive threat-intelligence data, modify or delete information, alter configuration, or perform other privileged operations. The patch resolves the vulnerability by requiring authentication identifiers and passwords to be valid strings, rejecting empty passwords where they are not explicitly permitted, and assigning a randomly generated local password to LDAP-provisioned accounts instead of storing a hash derived from an empty password.

Ein Angreifer kann mehrere Schwachstellen in MISP ausnutzen, um Sicherheitsmechanismen zu umgehen, Informationen offenzulegen, Daten oder Sitzungen zu manipulieren und die Verfügbarkeit zu beeinträchtigen.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 9 Sep 2026, published on 9 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

De multiples vulnérabilités ont été découvertes dans MISP. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une atteinte à l'intégrité des données.

MISPは、ユーザー提供の資格情報の検証が不十分であったため、LDAPおよびLinOTP認証コンポーネントに認証バイパスの脆弱性が存在していました。カスタムのLdapAuthenticateおよびLinOTPAuthenticateコンポーネントはCakePHPのFormAuthenticateの実装を置き換えていましたが、その資格情報検証チェックを再現していませんでした。その結果、空または文字列でない値が基盤となる認証メカニズムに渡される可能性がありました。LDAP認証経路においては、有効なディレクトリユーザーのメールアドレスを特定した攻撃者が空のパスワードを送信することが可能でした。この空の資格情報はldap_bind()に渡され、認証されていないバインドを受け入れるLDAPサーバーが有効な識別名と空のパスワードの組み合わせに対して成功結果を返す場合があります。その結果、MISPはユーザーのパスワード検証を行わずに攻撃者を該当する認証済みディレクトリユーザーとして扱ってしまう可能性がありました。本問題はLinOTP認証コンポーネントにも影響を及ぼしました。不正な資格情報タイプが処理前に拒否されず、混合認証が有効な場合には空のパスワードがローカルに保存されたMISPパスワードハッシュと照合されることがありました。さらに、LDAPでプロビジョニングされたMISPアカウントは通常の検証をスキップして空のローカルパスワードで作成されていたため、その結果、空のパスワードに対応するハッシュが保存されていました。これにより、LDAP経由で認証できなくなった場合でもローカルのフォールバック認証を通じて認証が可能になる可能性があります。成功した攻撃により、リモートの認証されていない攻撃者が既存のMISPユーザーをなりすますことが可能になります。対象アカウントに管理者またはその他の特権権限が付与されている場合、攻撃者は機密の脅威インテリジェンスデータへのアクセス、情報の変更または削除、設定の変更、その他の特権操作を行うことができます。このパッチは、認証識別子とパスワードが有効な文字列であることを要求し、明示的に許可されていない空のパスワードを拒否します。また、LDAPプロビジョニングされたアカウントには空のパスワードから派生したハッシュを保存する代わりにランダムに生成されたローカルパスワードを割り当てることで、この脆弱性を解決します。