🇰🇷 한글 설명
MISP의 이벤트 템플릿 빌더에서 잘못된 가시성 조건으로 인해 인증된 비관리 사용자가 다른 조직의 비공개 은하(galaxies) 메타데이터를 열람할 수 있는 취약점입니다. PHP 비교 표현식 대신 쿼리 조건을 사용해야 하는 접근 제어 로직이 잘못 구현되어 권한 없는 정보 노출이 발생했습니다.
💡 쉬운 설명
MISP 시스템에서 권한이 없는 사용자에게도 다른 조직의 비공개 데이터가 보이는 오류가 발견되었습니다. 이는 시스템의 보안 설정이 제대로 작동하지 않아 발생한 정보 유출 취약점입니다.
🇺🇸 원문 (English)
An incorrect visibility condition in the MISP event template builder allowed authenticated non-site-admin users to view galaxies that should not have been visible to their organisation. The custom access-control condition intended to restrict galaxies to those owned by the user’s organisation or distributed beyond it used a PHP comparison expression instead of a query condition. As a result, enabled galaxies, including organisation-only custom galaxies belonging to other organisations, could be exposed in the template builder galaxy list. This could disclose metadata about private galaxy definitions to unauthorised users.
📍 영향받는 시스템
MISP (Misp Project MISP)
⚔️ 공격 벡터
인증된 비관리자가 템플릿 빌더를 통해 은하 목록을 조회하여 타 조직의 비공개 메타데이터 접근
🛡️ 대응 방법
MISP 공식 업데이트를 적용하여 접근 제어 로직을 수정하고 쿼리 조건을 올바르게 적용해야 합니다.
🔧 검증 코드
해당 파일에서 쿼리 조건 대신 PHP 비교문이 사용된 부분을 확인하여 취약한 코드가 존재하는지 검증합니다.
grep -r 'galaxy' /var/www/MISP/app/Controller/EventsController.php | grep -v 'query'