重大 9.2 急ぎ度: 早めに

misp-modulesに認証回避の脆弱性、修正コミット公開

MISP Modulesのwebsiteで、ADMIN_PASSWORDを設定していても外部ツールの追加・削除・設定変更が未ログインで通る脆弱性が公表されました。3.1.4以下でwebsiteを動かしている組織は、修正を含む版へ更新し、到達できる範囲も絞ってください。

CVE-2026-127016 公開 11月12日 18:55 更新 11月12日 18:55 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 2 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

CVE-2026-127016 重大 9.2
CVE-2026-127046 重大 9.2

急ぎ度: 早めに

CVSS v4は9.2でcriticalですが、KEVへの掲載は確認できず、修正コミットは公開済みで、対象はwebsiteを使いADMIN_PASSWORDを設定した環境に限られるためです。

関係があるか

misp-modulesのwebsiteコンポーネントを動かし、.envなどでADMIN_PASSWORDを設定している組織が対象です。websiteを使わず、モジュールだけを動かしている環境は、この脆弱性のあるコンポーネントを使っていません。

製品	影響を受ける版	修正版
misp-modules（websiteのexternal_tools blueprint）	3.1.4以下	修正コミット28c27e3が公開されています。修正を含むリリース版の番号は、MISPプロジェクトの告知で確認してください。

確かめ方

1導入している版を確認します。3.1.4以下なら対象の範囲です。
2websiteコンポーネントを起動しているかを確認します。起動していなければ、この脆弱性のあるコードは動いていません。
3websiteの.envにADMIN_PASSWORDが設定されているかを確認します。値は他人の目に触れない場所で見てください。
4websiteにどのネットワークから届くかを、ファイアウォールやリバースプロキシの設定で確認します。

何が起きたか

MISP Modulesのwebsiteには、外部ツールを管理する画面があります。ADMIN_PASSWORDを設定すれば管理者ログインが必要になるはずですが、外部ツールの追加・削除・有効無効の切り替え・設定変更だけは、ログインしていない相手からの要求も受け付けていました。

原因は、external_toolsのblueprintにある処理に認可の確認が無かったことです（CWE-862）。同じwebsiteのモジュール設定側は、管理者ログインを正しく求めていました。つまり、同じ方針が画面ごとにそろっていなかったことになります。

修正では、外部ツールの4つの操作にも、モジュール設定と同じ管理者の確認を加えました。ログイン前に操作すると、追加画面はログイン画面へ送られ、それ以外は403で拒否されます。

筆者は、websiteを社内の限られた範囲にしか出していない環境なら、今日明日に止めるほどの話ではなく、早めの更新で足りるとみています。逆に、広い範囲から届く状態で運用している場合は、先に到達範囲を絞ってください。

攻撃の流れ

1

websiteに到達

ネットワーク上でwebsiteに届く位置にいる攻撃者が、管理者ログインの無いまま接続します。
2

認可確認なし

外部ツール管理の処理は、ADMIN_PASSWORDが設定されていても管理者かどうかを確認しません。
3

ツール登録を改変

外部ツールの追加・削除・有効無効の切り替え・設定変更が、未認証のまま実行されます。
4

連携先が書き換わる

APIキーや取り込み先URLが差し替えられ、外部ツールとの連携が意図しない状態になります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用に認証は要りません。ネットワーク上でwebsiteに接続できれば足り、利用者に何かを操作させる必要もありません。条件が付くのは環境側で、ADMIN_PASSWORDが設定されたwebsiteが対象です。

悪用されると、外部ツールの登録が自由に増え、消され、有効無効を切り替えられ、設定が書き換えられます。書き換えの対象には、APIキーと取り込み先URLが含まれます。CVSS v4の評価でも、完全性への影響が高くなっています。

連携先の登録が変えられると、後続の処理にも影響が及ぶ恐れがあります。その具体的な範囲は、各社の連携の組み方で変わります。

今すぐやること

1
対象かどうかを確認する

導入している版と、websiteを動かしているかを調べます。3.1.4以下でwebsiteを使っていれば対象です。
```
pip show misp-modules
```
2

修正を含む版へ更新する

修正コミットは公開されています。リリース版の番号はMISPプロジェクトの告知で確認し、修正を含む版に更新してください。更新後は、ログインしないまま外部ツールの追加を試みるとログイン画面に送られることを、検証環境で確認すると確実です。
3

外部ツールの登録内容を点検する

登録されているツールの一覧、取り込み先URL、有効無効の状態に、身に覚えのない変更が無いかを見ます。不審な点があれば、該当ツールのAPIキーを入れ替えてください。
4

アクセスログを調べる

websiteのアクセスログで、/add_external_tool、/external_tools/change_status、/external_tools/change_config、/external_tools/（ツールID）/delete_toolへの、ログイン前の要求が無いかを確認します。公表と同じ日の脆弱性ですが、以前から対象の版を公開していた場合は、遡って確認してください。

すぐ更新できないとき

すぐに更新できないときは、websiteに届く範囲を管理者の端末や社内の限られたネットワークに絞ります。ファイアウォールやリバースプロキシで、外部からの接続を止めてください。これはMISPプロジェクトが示した回避策ではなく、被害を小さくするための一般的な対策です。websiteを使っていなければ、起動を止める方法もあります。

背景

MISP Modulesは、脅威情報を共有するMISPと組み合わせて使う拡張部品です。外部サービスで情報を補強したり、他の形式へ書き出したりします。websiteは、その外部ツールやモジュールの設定を画面から管理するための部分です。

外部ツールの設定には、連携先のAPIキーと取り込み先URLが含まれます。ここを書き換えられると、情報の流れ先が変わる恐れがあるため、管理画面の認可は重要な役割を持ちます。今回は、モジュール設定には認可があり、外部ツール管理にだけ抜けていたという、画面ごとの不ぞろいが原因です。

よくある質問

Q.ADMIN_PASSWORDを設定していない環境は、今回の脆弱性の対象ですか。

A.対象外です。パスワード未設定の環境は、管理操作をログインなしで許す設計で、修正後も変わりません。ただし、誰でも管理できる状態なので、websiteを信頼できないネットワークに公開しないでください。公開が必要なら、ADMIN_PASSWORDを設定したうえで修正を含む版に更新する必要があります。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
misp	mispmisp-modules	3.1.4 以前→ 記載なし	記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

The MISP Modules website component exposes external tool management endpoints (add, delete, change status, and change configuration) that did not enforce the optional administrator authentication policy. When ADMIN_PASSWORD was configured in the application environment, the module configuration endpoints correctly required an authenticated administrator session, but the external tools management handlers processed requests from anonymous users without any authorization check. An unauthenticated attacker with network access to the website could add arbitrary external tools, delete existing tools, toggle their active status, and modify their configurations including API keys and ingestion URLs. This inconsistency allowed bypass of the intended access control for the external tools management functionality. The vulnerability is conditional on ADMIN_PASSWORD being set; installations without an admin password intentionally permit open management access by design. The affected component is the external_tools Flask blueprint within the MISP Modules website application.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

advisory nvd.nist.gov
advisory github.com
package github.com
patch github.com
web github.com