MISPは認証されたサイト管理者にKafka_rdkafka_config設定を任意のファイルシステムパスに設定させることを許可していました。MISPはその後、参照されたINIファイルを解析し、そのオプションをrdkafkaに渡していました。作成された攻撃者制御の設定ファイルは、plugin.library.pathsのようなrdkafkaオプションを使用して外部ライブラリを読み込み、結果としてMISPプロセスの権限で任意のコードを実行させる可能性があります。攻撃者はアップロードファイルや管理用画像など、MISPが書き込み可能な場所を利用して悪意のある設定ファイルをホストする可能性があります。問題は、設定をウェブルートおよびMISPアップロードターゲット外の認可された設定ディレクトリ内の絶対パス.iniファイルのみに制限することで修正されました。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。