CVE-2026-90961

MISP içerisindeki LdapAuth ve LinOTPAuth kimlik doğrulama eklentileri bir kimlik doğrulama atlatma zafiyeti içermektedir. Hem LdapAuthenticate hem de LinOTPAuthenticate, CakePHP'nin FormAuthenticate sınıfının yerini alır ancak bu sınıfın _checkFields() girdi doğrulama korumasını yeniden oluşturmakta başarısız olur. Sonuç olarak, giriş isteğinden çıkarılan e-posta ve şifre alanları, boş olmayan dizgiler oldukları doğrulanmadan alt kimlik doğrulama mantığına aktarılır. LDAP kimlik doğrulayıcıda, boş veya null bir şifre ldap_bind() fonksiyonuna iletilir. RFC 4513 bölüm 5.1.2 uyarınca, geçerli bir DN ve boş bir şifre ile yapılan bağlama isteği, birçok LDAP dizin sunucusunun başarılı kabul ettiği kimlik doğrulanmamış bir bağlama işlemini oluşturur. Bu nedenle, dizindeki herhangi bir geçerli kullanıcı e-posta adresini bilen bir saldırgan, şifreye sahip olmadan o kullanıcı olarak kimlik doğrulaması yapabilir. Ek olarak, dizgi olmayan değerler (null, false, diziler) ya ldap_bind() tarafından boş dizgilere zorlanır, ya TypeError hatalarına yol açar ya da _findUser() içerisinde arama koşulları olarak yanlış yorumlanır; bunların tamamı istenmeyen kimlik doğrulama sonuçlarına yol açabilir. LinOTP kimlik doğrulayıcıda, aynı eksik koruma, dizgi olmayan kimlik bilgilerinin LinOTP doğrulama isteğine eklenmesine izin verir ve karma kimlik doğrulama dalında, boş bir şifrenin boş dizginin saklanan özetiyle eşleşerek kabul edilmesine neden olur. LDAP kimlik doğrulayıcıdaki ikincil bir sorun ise yeni oluşturulan kullanıcı hesaplarının (ilk LDAP girişinde otomatik olarak sağlananlar) boş bir şifre atanmış olmasıdır. Kayıt yolu doğrulamayı atladığı için boş dizgi özetlenir ve saklanır. Kullanıcı daha sonra LDAP'de bulunamazsa ve karma kimlik doğrulama yedekleme yöntemi kullanılırsa, saklanan boş dizgi özeti boş bir şifre ile doğrulanır ve bu durum yine kimlik doğrulanmamış erişime izin verir. Zafiyetin tetiklenmesi için etkilenen eklentinin (LdapAuth veya LinOTPAuth) MISP örneğinde etkinleştirilmiş olması ve saldırganın dizinde veya MISP kullanıcı deposunda kayıtlı olan en az bir geçerli e-posta adresini bilmesi gerekir. Önceden herhangi bir kimlik doğrulama gerekmemektedir. Başarılı istismar, saldırgana taklit edilen kullanıcının tüm ayrıcalıklarını verir; bu ayrıcalıklar tehdit istihbaratı verilerine yönetici erişimini içerebilir. Etkilenen versiyon: ≤2.5.45