MISP OnDemand Correlation Engine Missing Access Control Allows Disclosure of Restricted Correlations

MISP contains an authorization flaw in the OnDemand correlation engine where correlations were calculated solely from matching attribute values without applying the distribution, sharing group, organization, or other access-control restrictions associated with the correlated attributes and events. As a result, an authenticated user could receive correlation results referring to attributes or events that the user was not authorized to access. The vulnerable correlation collection path did not take the requesting user into account. The patch changes the correlation collector to accept the current user and filters the resulting attribute identifiers through MISP's existing fetchAttributesSimple() authorization logic, which evaluates event-, attribute-, object-, distribution-, and sharing-group-level restrictions against the live data. The issue also affected paths relying on previously stored correlation data. Because the OnDemand engine does not maintain the stored correlation table, its denormalized access-control information could be stale. The patch therefore validates correlated attribute identifiers against the current ACLs before returning them and additionally applies normal event visibility conditions when retrieving related events. An authenticated low-privileged user could exploit this issue by querying or creating attributes that correlate with restricted MISP content, potentially learning information about otherwise inaccessible events or attributes.

Ein Angreifer kann mehrere Schwachstellen in MISP ausnutzen, um Sicherheitsmechanismen zu umgehen, Informationen offenzulegen, Daten oder Sitzungen zu manipulieren und die Verfügbarkeit zu beeinträchtigen.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 9 Sep 2026, published on 9 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

De multiples vulnérabilités ont été découvertes dans MISP. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une atteinte à l'intégrité des données.

MISPのOnDemand相関エンジンには認可の欠陥があり、相関は関連付けられた属性およびイベントに対して配布、共有グループ、組織、その他のアクセス制御制限を適用せず、単に一致する属性値のみから計算されていました。その結果、認証済みユーザーがアクセス権のない属性やイベントに関連する相関結果を受け取る可能性がありました。脆弱な相関収集経路は要求元ユーザーを考慮していませんでした。パッチでは相関コレクターを変更し、現在のユーザー情報を受け入れて相関した属性識別子をMISPの既存のfetchAttributesSimple()認可ロジックを通じてフィルタリングします。このロジックはイベント、属性、オブジェクト、配布、共有グループレベルの制限をライブデータに対して評価します。本問題は以前に保存された相関データに依存する経路にも影響していました。OnDemandエンジンは保存された相関テーブルを維持しないため、その非正規化されたアクセス制御情報は古くなっている可能性があります。したがってパッチでは、相関された属性識別子を返す前に現在のACLに対して検証を行い、関連イベントを取得する際には通常のイベント可視性条件も適用します。認証された権限の低いユーザーは、この問題を悪用して制限されたMISPコンテンツと相関する属性を照会または作成することで、本来アクセスできないイベントや属性に関する情報を知り得る可能性があります。