脅威情報共有プラットフォーム「MISP」に脆弱性 - 最新版へ更新を

脅威情報共有プラットフォーム「MISP（Malware Information Sharing Platform）」に複数の脆弱性が明らかとなった。アップデートで修正されている。

組織ロゴファイルをアップロードする機能において、拡張子やMIMEタイプをチェックしておらず、任意のファイルをアップロードすることが可能となる「CVE-2024-25674」が明らかとなった。

また「POST」を送信することなくエクスポート機能を開始させることができる「CVE-2024-25675」が判明。開発チームでは、脆弱性の重要度をともに「低（Low）」と評価している。

さらにCVE番号は示されていないが、監査ログの一部機能にアクセスコントロールリストによる制御が行われていない問題なども存在。重要度は「中（Medium）」とした。

一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、「CVE-2024-25674」「CVE-2024-25675」について共通脆弱性評価システム「CVSSv3.1」のベーススコアをともに「9.8」、重要度を「クリティカル（Critical）」とレーティングしている。

これら2件の脆弱性は現地時間2月6日にリリースされた「同2.4.184」で修正された。また同月20日には「同2.4.185」をリリースしており、CVE番号は示されていないが、セキュリティやバグなどの修正を行っている。

（Security NEXT - 2024/02/29 ）ツイート