🇰🇷 한글 설명
MISP의 DashboardsController::listTemplates()에서 이메일 주소 가시성 적용이 일관되지 않게 구현되어 발생한 취약점입니다. 일반 HTML 인터페이스에서는 이메일이 가려지지만, REST/JSON 요청을 통해 템플릿 소유자의 이메일 주소를 그대로 탈취할 수 있습니다.
💡 쉬운 설명
대시보드에서 사용자 이메일이 숨겨져 보여야 하지만, 특정 방식으로 데이터를 요청하면 숨겨진 이메일 주소가 그대로 노출되는 문제입니다. 인증된 사용자라면 누구나 다른 사용자의 이메일을 몰래 확인할 수 있습니다.
🇺🇸 원문 (English)
Affected versions of MISP inconsistently enforced email-address visibility in DashboardsController::listTemplates().
The query always fetched User.email, while redaction happened only inside the non-REST rendering branch. As a result, the same authenticated user who saw redacted data in the normal HTML interface could request the REST/JSON representation and receive template owners’ email addresses without the intended privilege check.
The fix moves the decision to a centralized User::canSeeEmails() authorization helper. Email addresses are now fetched only when the requester is a site administrator or the instance explicitly enables Security.disclose_user_emails. The same helper is also reused by other dashboard widgets to keep email-disclosure policy consistent.
Version affected: ≤2.5.45
📍 영향받는 시스템
MISP 버전 2.5.45 이하
⚔️ 공격 벡터
인증된 사용자가 REST API 또는 JSON 엔드포인트를 통해 대시보드 템플릿 목록을 요청하여 이메일 정보를 탈취
🛡️ 대응 방법
MISP를 최신 버전으로 업데이트하여 중앙 집중식 권한 확인 로직(User::canSeeEmails())이 적용된 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 2.5.45 이하인지 확인하십시오.
misp-shell -c 'echo $MISP_VERSION' 2>/dev/null || misp --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'