CVE-2026-85216 MISP認証バイパス脆弱性に注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
MISPのLDAPおよびLinOTP認証コンポーネントに認証バイパスの脆弱性が確認されています。ユーザーが提供する資格情報を十分に検証しないため、空のパスワードや非文字値が認証処理に到達する可能性があります。LDAPサーバーが未認証のbindを許可する場合、有効なDNと空パスワードで認証が成功し、攻撃者がユーザーとして誤認されるおそれがあります。また、ローカルパスワードハッシュとの照合時に空パスワードが許容されるケースも存在します。攻撃成功により、管理者権限を持つユーザーの不正利用が可能となり、脅威情報データの改ざんや設定変更といった影響が生じる可能性があります。PHPやBIND関連の設定がMISPに影響する場合、パッチ適用と認証フローの確認が重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質は、認証プロセスが「資格情報の検証」を怠っている点にあると聞いているが、では「検証の欠如」がもたらす倫理的リスクとは何か？例えば、ユーザーが「存在しない」パスワードを入力してもシステムが受け入れる場合、それは「存在しない」ものへの信頼を示しているのだろうか？
（苦笑）ソクラテス、その比喩は秀逸ですが、現実的には、Linux運用者としてまず確認すべきは「LDAPとLinOTPの設定ファイル」です。PHPの`ldap_bind()`関数が無認証bindを許容しているか、`php.ini`や`ldap.conf`に`ldap.deref`や`ldap.timeout`の設定が適切か。また、BINDの`slapd.conf`に`anonymous bind`が有効になっていないか。これらを確認するだけで、脆弱性の影響範囲が劇的に変わります。
では、その「確認」の結果が異なった場合、運用者としてどのような選択肢があるのか？たとえば、パッチが未適用のシステムでは、監視ログに「空パスワードでの認証成功」のエントリが現れるだろうか？
はい。監視ツール（例：ELKスタックやSplunk）で`auth.log`や`/var/log/misp/audit.log`をチェックし、「empty password」や「non-string credential」のキーワードが記録されているか確認する必要があります。また、MISPのバージョンがCVE-2026-85216対応のものか、公式リリースノートやGitHubのcommit履歴で確認しましょう。
しかし、パッチ適用の際、変更管理のプロセスが不十分だと、新たな問題を生む可能性がある。では、運用者はどうすれば「変更が意図通りに反映されたか」を検証できるのか？
（頷く）変更管理では、パッチ適用前に`git diff`でコード変更部分を確認し、`ldapAuthenticate.php`や`LinOTPAuthenticate.php`の`validateCredentials()`関数が空値を拒否する処理を追加しているかを確認します。また、適用後は単体テストや、テスト環境での「空パスワードによる認証試行」をシミュレーションして、ログに成功エントリが残らないかを検証するのが良いでしょう。
では、ベンダー情報の確認はなぜ重要なのか？たとえば、この脆弱性がMISPの「特定の機能」に限定されていると仮定した場合、運用者はどうすればいい？
MISPの公式ドキュメントや、CVEのNVDページ（https://nvd.nist.gov/vuln/detail/CVE-2026-85216）で影響を受けるモジュールや設定を確認し、自身の環境に該当するかを精査する必要があります。また、MISPコミュニティやRed Hat、Ubuntuなどのパッケージ提供元から出る補足情報もチェックすべきです。
最後に、この脆弱性に対する「運用者の責任」を哲学者としてどう評価するか？
（真剣に）これは難しい質問です。しかし、運用者としての責任は、単にパッチを適用することではなく、「検証のプロセス」を確立することです。空パスワードが許容される設定がなぜ存在するのか、その設計が最初から誤っていたのか、それとも運用ミスなのか——この問いに答えられるのが、真の「責任」と言えるでしょう。
関連キーワード: php, bind