CVE-2026-54360 MISP共有グループ作成エンドポイントのマスアサインメント脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Linuxサーバー運用者向けに、MISPの共有グループ作成エンドポイントに存在するマスアサインメント脆弱性（CVE-2026-54360）について確認が必要です。認証済みユーザーが共有グループのIDを悪用して、通常の編集権限を越えて既存の共有グループを変更できる可能性があります。これにより、情報の機密性や整合性が脅かされる恐れがあります。影響を受けるのは、`app/Controller/SharingGroupsController.php`の`add()`アクションに関連する処理です。確認時は、PHPベースのMISP環境が該当コードを実行しているかを確認し、公式リリースのパッチ適用や、ユーザー入力のIDフィールドを適切に処理する設定の見直しが必要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について、あなたはどのように考えますか？認証済みユーザーが「通常の編集権限を越えて」操作できるという点が興味深いですね。これは、情報の機密性や整合性を脅かす可能性があるとされていますが、なぜそのようなことが起こるのでしょうか？
それはね、`SharingGroupsController.php`の`add()`アクションが、ユーザーが送信したIDフィールドを適切に処理していなかったからです。たとえば、既存の共有グループのIDを送信すると、本来は新規作成されるはずのデータが、そのIDのグループを上書きしてしまうんです。これは、CakePHPの仕様によるもので、`save()`時に主キーが指定されると「更新」が優先されるからです。
なるほど。では、Linux運用者として確認すべき点は何か？たとえば、このコードが実際に実行されているかどうか？
そのとおりです。まず、PHPベースのMISP環境が`app/Controller/SharingGroupsController.php`の`add()`アクションを実行しているかを確認する必要があります。公式リリースのパッチ適用が最優先ですが、パッチが公開されるまでは、ユーザー入力のIDフィールドを無効化する設定を検討すべきです。また、変更管理の文書にこの脆弱性を記録し、監視ツールで異常なIDの送信を検出する仕組みを導入することも重要です。
では、ベンダー情報の確認はなぜ必要なのでしょう？たとえば、MISPのバージョンや、パッチ適用の状況？
はい。公式サイトやリリースノートで、この脆弱性が影響を及ぼすバージョンを確認し、パッチ適用の有無を確認する必要があります。また、ベンダーが提供するガイドラインに従って、セキュリティ設定を再評価することも忘れずに。たとえば、IDフィールドのフィルタリングや、アクセス制御リスト（ACL）の再構成などですね。
ユーモアを交えて言えるなら、このIDフィールドは「悪のトリックスター」でしょうか？
そうですね。このIDフィールドが「勝手に」既存のグループを上書きしようとするのを、運用者はしっかり防がねばなりません。パッチ適用が難しい場合は、少なくともIDフィールドを無効化する設定で、リスクを最小限に抑えるのが現実的です。笑いながらも、監視と変更管理は怠らないようにしましょう。
関連キーワード: php