CVE-2026-95667 MISPインストーラーのログファイル権限設定不備
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
MISPのインストーラーが作成するログファイルとFIFO（名前付きパイプ）が、デフォルトのumask設定によりすべてのユーザーが読み取り可能な権限（0644）で生成される問題が発覚しました。ログには管理者パスワードやデータベースパスワード、GPGのパスフレーズなど機密情報が記録されており、ローカルの一般ユーザーがこれらを読み取って情報を漏洩させるリスクがあります。また、ログファイル作成前に既存のシンボリックリンクが存在する場合、ログの書き込み先が任意の場所にリダイレクトされる可能性もあります。確認時は、/var/log/misp_install.logとFIFOの権限を確認し、不要なファイルの削除や適切なパーミッション設定を実施する必要があります。パッチ適用やインストーラーの設定見直しが推奨されます。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問う。ログファイルとFIFOが世界に開かれた状態で存在するとき、情報の漏洩は必然的な結果なのか？それとも、運用者の責任が問われるのか？
ソクラテス、ご指摘の通りです。まず確認すべきは、/var/log/misp_install.logとFIFOの権限です。0644ではなく、umaskで制御可能な0600に変更すべきです。また、既存のシンボリックリンクが存在する場合、ログが意図せぬ場所に書き込まれるリスクがあります。これらを確認し、不要なファイルを削除する必要があります。
では、この脆弱性が発生した際、運用者が直面する倫理的ジレンマとは？機密情報を漏洩させるリスクと、パッチ適用の手間の間で、選択を迫られるのではないのか？
確かに、パッチ適用やインストーラーの設定見直しは必須です。しかし、変更管理のプロセスを厳格にし、テスト環境での確認を経てから本番に適用するべきです。また、ベンダーの公式情報やNVDの記述を確認し、誤解がないかを精査することも重要です。
では、この問題を解決するための「知」は、運用者にとって何を意味するのか？
監視と確認の習慣です。ログファイルの生成に伴う権限設定を常時意識し、変更が発生した際には即座に影響調査を実施する。また、パッチ適用後は、再度権限を確認し、セキュリティポリシーに合致しているかを確認する。これは、単なる技術的対応ではなく、倫理的責任の一部です。
では、この脆弱性を「教育」の機会として捉えることは可能か？
もちろんです。この件を契機に、運用チームがumaskの設定やファイルの所有権管理について再教育し、セキュリティの基本を再確認する良い機会です。ユーモアを交えて言いますが、ログファイルにパスワードが入っていることに気づかなかった運用者は、きっと「忘れ物」のカテゴリに該当するでしょう。
関連キーワード: ubuntu, debian, rhel