MISP: TOTP-Code-Replay ermöglicht doppelte Zwei-Faktor-Authentifizierung
Zusammenfassung
MISP vor 2.5.48 akzeptiert einen gültigen TOTP-Einmalcode während des Zwei-Faktor-Logins mehrfach innerhalb seiner 30-sekündigen Gültigkeitsdauer. Ein Angreifer, der einen legitimen Code während der Anmeldung eines Benutzers abfängt, etwa durch Netzwerkabhörung, Mitlesen über die Schulter oder einen kompromittierten Client, kann ihn wiederverwenden, um eine zweite Sitzung als dieser Benutzer zu öffnen. Eine erfolgreiche Ausnutzung gewährt Zugriff auf Threat-Intelligence-Daten und administrative Funktionen, die dem betroffenen Konto zur Verfügung stehen.
Betroffen
- MISP-Versionen vor 2.5.48
- Installationen, in denen Benutzer die TOTP-basierte Zwei-Faktor-Authentifizierung aktiviert haben
Behoben in
- MISP 2.5.48 (Herstellerkorrektur in Commit a020fa47b); die neueste Version wird empfohlen
Umgehung
- Keine bekannte Herstellerumgehung; die gepatchte Version einspielen.
- Übergangsweise: Zugriff auf die MISP-Weboberfläche auf vertrauenswürdige Netze oder VPN beschränken.
Ausnutzung
- CCB meldet keine Hinweise auf eine aktive Ausnutzung in freier Wildbahn.
- CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als yes.
- Kein öffentlicher Proof of Concept gefunden; ein Eintrag im CISA KEV wurde nicht verifiziert.
Unsere Empfehlung
- Falls Sie MISP betreiben, auf die neueste Version aktualisieren (mindestens 2.5.48).
- Konten mit Zwei-Faktor-Authentifizierung auf unerwartete Anmeldungen und Sitzungen prüfen.
- Zugriff auf die MISP-Oberfläche auf vertrauenswürdige Netze beschränken.
- NVD-Status und einen möglichen CISA-KEV-Eintrag direkt prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MISP commit a020fa47b github.com
- OSV: CVE-2026-103655 osv.dev
- CCB advisory on MISP TOTP vulnerability ccb.belgium.be
- MISP releases github.com
- CVEDetails: MISP vulnerability list www.cvedetails.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:42.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.