CVE-2026-56423

요약

MISP Core에는 Event Reports 및 Sharing Groups의 일괄 삭제 흐름에서 손상된 접근 제어 검사가 존재했습니다. 영향을 받는 deleteSelection 핸들러는 선택된 각 객체에 대한 권한 부여를 검증하는 대신 광범위한 역할 수준 권한을 사용하여 삭제를 승인했습니다. Event Reports의 경우, EventReportsController::deleteSelection은 보고서별 소유권/권한 부여 검사가 아닌 전역 perm_add 기능에 의존했습니다. 그 결과, contributor 수준 사용자는 다른 조직에 속한 보고서의 ID 또는 UUID를 제출하여 인스턴스 전체에서 해당 보고서를 하드 삭제할 수 있었습니다. 이 수정은 삭제 전에 선택된 각 보고서에 대해 EventReport::fetchIfAuthorized($user, $itemId, 'delete')를 호출하도록 콜백을 변경했습니다. Sharing Groups의 경우, SharingGroupsController::deleteSelection은 선택된 각 공유 그룹의 소유권을 검증하지 않고 전역 perm_sharing_group 기능에 의존했습니다. 이로 인해 공유 그룹 권한이 있는 사용자는 단일 객체 삭제 작업에서 사용되는 객체별 소유권 게이트를 우회하여 다른 조직이 소유한 공유 그룹을 하드 삭제할 수 있었습니다. 이 수정은 선택된 각 공유 그룹에 대해 SharingGroup::checkIfOwner($user, $itemId)를 호출하도록 콜백을 변경했습니다. 관련 광범위한 역할 권한을 보유한 인증된 공격자는 영향을 받는 일괄 삭제 엔드포인트를 악용하여 자신의 조직 권한 범위를 벗어난 객체를 삭제할 수 있으며, 이로 인해 인스턴스 전반에서 이벤트 보고서 콘텐츠 또는 공유 그룹 구성이 손실될 수 있습니다.

• CVE-2026-56423-MISP-deleteSelection-BrokenAccessControlPoC

  PoC for CVE-2026-56423: MISP deleteSelection의 손상된 접근 제어 (CWE-862, 기여자가 다른 조직의 이벤트 보고서/공유 그룹을 강제 삭제, CVSS 8.8)