CVE-2026-67178

MISP quraşdırma skriptləri yanlış formatlanmış HTTP-dən-HTTPS-ə yönləndirmə ehtiva edən Apache HTTP virtual-host konfiqurasiyasını yaratmışdır: Redirect permanent / https://misp.example Apache-nin Redirect direktivi sorğu edilən yolun uyğun gələn prefiksdən sonrakı hər hansı hissəsini konfiqurasiya edilmiş təyinat URL-nə əlavə edir. Təyinat ünvanı / ilə bitmədiyin üçün hücumçunun nəzarət etdiyi yol məzmunu URL yoluna deyil, birbaşa host adına əlavə edilmişdir. Məsələn, aşağıdakına bənzər bir sorğu: http://misp.example/@attacker.example/ belə bir yönləndirmə ilə nəticələnə bilər: https://[email protected]/ Standart URL analizində misp.example istifadəçi məlumatı, attacker.example isə təyinat hostu kimi şərh olunur. Buna görə də, autentifikasiya olunmamış uzaqdan hücumçu legitim MISP domenində yerləşən və istifadəçiləri hücumçunun nəzarət etdiyi veb sayta yönləndirən URL yarada bilər. Bu zəiflik fişinq, etibarnamələrin toplanması və ya potensial olaraq yönləndirmə zamanı qorunan həssas sorğu sətiri (query-string) məlumatlarının açıqlanması üçün istifadə edilə bilər. İstismarı üçün istifadəçinin hazırlanmış HTTP URL-ni izləməsi tələb olunur. Düzəliş, yönləndirmə təyinatına çatışmayan son slash simvolunu əlavə edərək, əlavə edilmiş sorğu məlumatlarının konfiqurasiya edilmiş MISP hostunda yolun hissəsi olmasını təmin edir. Mövcud quraşdırmalar: Mövcud MISP quraşdırmaları öz Apache HTTP virtual-host konfiqurasiyasını nəzərdən keçirməli və HTTPS yönləndirmə təyinatının son slash simvolu ilə bitdiyindən əmin olmalıdırlar: Redirect permanent / https://misp.example/ Konfiqurasiyanı yenilədikdən sonra onu apachectl configtest ilə yoxlayın və dəyişikliyin qüvvəyə minməsi üçün Apache-ni yenidən yükləyin və ya başladın.