CVE-2026-85221

MISP-nin CurlClient komponentində yanlış TLS sertifikatının təsdiqlənməsi zəifliyi mövcuddur. CurlClient::$verifyPeer xüsusiyyəti açıq şəkildə başladılmamışdı və buna görə də standart olaraq null dəyərini almışdı. cURL-ə ötürüldükdə bu dəyər, çağırıcı kod onu açıq şəkildə aktiv etmədiyi təqdirdə, TLS peer yoxlamasını faktiki olaraq deaktiv edirdi. Nəticədə, təsirlənmiş CurlClient nümunələri vasitəsilə qurulan HTTPS bağlantıları etibarlı sertifikat mərkəzi tərəfindən verilməmiş sertifikatları qəbul edə bilərdi. MISP nümunəsi ilə uzaq HTTPS xidməti arasındakı şəbəkə trafikini ələ keçirməyə və ya manipulyasiya etməyə qadir olan hücumçu, uzaq son nöqtəni təqlid edə və "man-in-the-middle" hücumu həyata keçirə bilərdi. Uğurlu istismar hücumçuya MISP tərəfindən ötürülən autentifikasiya məlumatları və ya mübadilə edilən təhdid kəşfiyyatı daxil olmaqla həssas məlumatları müşahidə etməyə və MISP nümunəsinə qaytarılan cavabları dəyişdirməyə imkan verə bilərdi. Təsir, CurlClient-dən istifadə edən funksionallıqdan və uzaq xidmətlə mübadilə edilən məlumatlardan asılıdır. Yamaq, konfiqurasiya edilmiş özü imzalı (self-signed) sertifikatlar üçün açıq dəstəyi saxlayaraq, TLS peer yoxlamasını standart olaraq aktivləşdirir. O, həmçinin SyncTool-da özü imzalı sertifikatların idarə olunmasını düzəldir ki, peer yoxlaması yalnız heç bir pinned CA sertifikatı konfiqurasiya edilmədikdə deaktiv edilsin.