CVE-2026-92002
Publiée le 2026-09-15 · Dernière modification le 2026-09-16
Les instances MISP en version 2.5.45 et antérieures sont affectées si leur connexion à Redis est interrompue. Dans cet état, le système cesse d'enregistrer les tentatives de connexion échouées, permettant ainsi à un attaquant ayant un accès réseau de tenter de forcer les mots de passe par brute-force sans laisser de trace dans les journaux d'authentification. Ce phénomène se produit automatiquement dès que le service Redis est indisponible, ne nécessitant aucun privilège spécial ni interaction de l'utilisateur pour déclencher l'absence d'enregistrement.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Affected versions of MISP use Redis to throttle repeated authentication-failure log entries. The intent is to avoid excessive duplicate logs while still recording failed authentication activity. However, User->setupRedis() returns false when Redis cannot be reached. The vulnerable _shouldLog() logic only returned true when a Redis instance existed and no throttle key was present. Therefore, when Redis was unavailable, the function did not allow the log write at all, effectively silencing authentication-failure logging for the duration of the outage. Version affected: ≤2.5.45