🔴 【深度分析】严重安全漏洞：CVE-2026-56423

CVSS 评分: 严重（9.4）🔴　　状态: Analyzed　　发布时间: 2026-06-22

🔍 技术细节速览

字段 值
CVE ID CVE-2026-56423
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X
CWE 分类 CWE-862
发布时间 2026-06-22
状态 Analyzed

好的，作为一名资深网络安全分析师，以下是对 CVE-2026-56423 的深度分析。

漏洞概述

CVE-2026-56423 是一个存在于 MISP（Malware Information Sharing Platform）核心中的高危授权绕过漏洞。该漏洞影响了 MISP 中“事件报告”（Event Reports）和“共享组”（Sharing Groups）的批量删除功能。由于相关处理程序（deleteSelection）在执行批量删除操作时，仅依赖宽泛的角色级权限进行检查，而未对每个待删除对象进行细粒度的所有权或授权验证，导致低权限的认证攻击者能够越权删除本不属于其组织的对象。成功利用此漏洞可能导致实例范围内的事件报告内容或共享组配置丢失，造成严重的数据完整性和可用性影响。

受影响组件与版本

  • 受影响组件: MISP Core
  • 受影响功能:
    • EventReportsController::deleteSelection (事件报告批量删除)
    • SharingGroupsController::deleteSelection (共享组批量删除)
  • 影响版本: 所有在修复提交（ada02fa6d7558732aa4712fd5e9451cd8c5b7a64 和 f99b3f16ef22c7acf10e17036c777759cf031c15）之前的 MISP 版本均受影响。具体版本号需查阅 MISP 官方发布日志。

漏洞原理分析

该漏洞的核心问题在于授权检查的缺失，具体表现为“功能级授权”与“对象级授权”的混淆。

  1. 事件报告 (EventReportsController::deleteSelection):

    • 错误逻辑: 该处理程序在删除一组事件报告时，仅检查了用户是否拥有全局的 perm_add 权限。perm_add 通常是一个宽泛的、用于判断用户是否具有“添加/编辑”能力的角色级权限。
    • 绕过方式: 一个拥有 perm_add 权限的“贡献者”（contributor-level）用户，可以构造一个包含其他组织所拥有的事件报告 ID 或 UUID 的请求。由于后端没有对每个报告的所有者进行验证，该请求会成功执行删除操作。
    • 修复方案: 修复后的代码在删除每个报告前，会调用 EventReport::fetchIfAuthorized($user, $itemId, 'delete') 方法。该方法会检查当前用户是否对该特定报告拥有“删除”权限，从而实现了对象级的授权控制。

  2. 共享组 (SharingGroupsController::deleteSelection):

    • 错误逻辑: 该处理程序在删除一组共享组时，仅检查了用户是否拥有全局的 perm_sharing_group 权限。这个权限允许用户管理共享组，但并未区分用户是管理自己的共享组还是他人的。
    • 绕过方式: 一个拥有 perm_sharing_group 权限的用户，可以构造一个包含其他组织所拥有的共享组 ID 的请求。由于后端没有对每个共享组的所有权进行验证，该请求会成功执行删除操作。这与单个共享组删除操作（delete 动作）中存在的所有权检查形成了对比。
    • 修复方案: 修复后的代码在删除每个共享组前，会调用 SharingGroup::checkIfOwner($user, $itemId) 方法。该方法会严格验证当前用户是否为该共享组的所有者，从而防止了越权删除。

总结：漏洞的根本原因是批量删除功能的设计缺陷，它错误地使用了角色级权限（功能级授权）来替代对象级授权，导致权限验证被绕过。

影响评估

  • CVSS 评分: 9.4 (严重)
  • 攻击向量: 网络 (AV:N)
  • 攻击复杂度: 低 (AC:L)
  • 所需权限: 低 (PR:L) - 需要拥有 perm_add 或 perm_sharing_group 权限的认证用户。
  • 影响范围:
    • 机密性: 高 (VC:H/SC:H) - 虽然主要影响是删除，但攻击者可能通过删除操作间接了解某些对象的存在或配置。
    • 完整性: 高 (VI:H/SI:H) - 攻击者可以删除不属于自己的数据，破坏了数据的完整性。
    • 可用性: 高 (VA:H/SA:H) - 关键数据（事件报告、共享组配置）被删除，导致功能不可用或数据丢失。

业务影响:

  • 数据丢失: 攻击者可以恶意或无意地删除其他组织的重要事件报告，导致威胁情报分析成果丢失。
  • 配置破坏: 攻击者可以删除其他组织创建的共享组，破坏既定的信息共享策略和协作关系。
  • 信任受损: 此类漏洞会严重损害平台用户之间的信任，因为用户无法确保自己创建的数据和配置的安全性。

修复建议

  1. 立即升级: 强烈建议所有受影响的 MISP 实例管理员立即将 MISP 升级到包含修复提交的版本。请参考 MISP 官方发布渠道获取最新稳定版本。
  2. 应用补丁: 如果无法立即升级，可以手动应用官方提供的修复补丁：
    • 事件报告修复: ada02fa6d7558732aa4712fd5e9451cd8c5b7a64
    • 共享组修复: f99b3f16ef22c7acf10e17036c777759cf031c15
  3. 临时缓解措施:
    • 审查用户权限: 在升级前，严格审查所有拥有 perm_add 和 perm_sharing_group 权限的用户，确保这些权限仅授予可信任的管理员或高级用户。
    • 监控日志: 加强对 MISP 应用日志的监控，特别关注 deleteSelection 相关的操作，以便及时发现可疑的批量删除行为。
    • 限制功能访问: 如果业务允许，可考虑暂时禁用或限制对事件报告和共享组批量删除功能的访问，直到完成升级。

参考资料