CVE-2026-77761 in misp-stix
الملخص
بحسب VulDB • 21/08/2026
تُعدّ ثغرة عزل حالة المُحلِّل (parser state isolation) في misp-stix مصدر قلق، إذ قد تؤدي إلى الاحتفاظ ببيانات من مستند STIX تمت معالجته سابقاً ودمجها ضمن حدث MISP الذي يُنشأ من مستند لاحق عند إعادة استخدام نفس مثيل المُحلِّل.
تحتفظ عدة مكونات لمُحلِّلي STIX الإصدار 1 والإصدار 2 بحالة خاصة بكل مستند (per-document state) لم يتم مسحها بالكامل بين عمليات التحويل. وفي مُحلِّل STIX 2، يمكن أن تبقى معلومات المجرة وعناقيد المجرات (galaxy and galaxy-cluster information)، بما في ذلك عناقيد المجرات المخصصة، بعد إعادة تعيين المُحلِّل، لتُربط لاحقاً بأشياء من حزمة أخرى.
تأثرت مُحلِّلات STIX 1 بنفس مشكلة إدارة الحالة الأساسية. واعتماداً على نوع المُحلِّل، قد تشمل المعلومات المحتفظ بها المجرات، والإشارات المرجعية (references)، وبيانات تتبع DNS السلبية (passive DNS bookkeeping)، وعناوين الحزم، والتواريخ، والأختام الزمنية. ونتيجة لذلك، يمكن أن يؤدي تحليل حزمة STIX ثانية باستخدام مُحلِّل مستخدم مسبقاً إلى إنتاج حدث MISP يحتوي على معلومات كانت موجودة فقط في الحزمة التي تمت معالجتها سابقاً. فعلى سبيل المثال، قد يرث الحدث المُنتج سجلات DNS سلبية من وثيقة سابقة، أو يشير إلى معلومات مجرات غير ذات صلة، أو يدمج عناوين من حزم مختلفة، أو يستخدم أختاماً زمنية نشأت من تحويل آخر.
تؤثر هذه المشكلة بشكل أساسي على التطبيقات التي تستخدم واجهة برمجة التطبيقات (API) الخاصة بـ misp-stix مباشرةً وتعيد استخدام مثيلات المُحلِّل عبر مستندات STIX المستقلة. ولا تتأثر نقاط الدخول القياسية للتحويل التي تنشئ مُحلِّلاً جديداً لكل ملف بهذا السيناريو المحدد لإعادة الاستخدام.
قد يتمكن مهاجم قادر على التأثير في الوثائق المعالجة بواسطة مثل هذا المُحلِّل طويل العمر من التسبب في تلوث حدث MISP لاحق بمعلومات من تحويل سابق. ويمكن أن يؤثر ذلك على سلامة استخبارات التهديدات المُولَّدة، مما يؤدي إلى روابط غير صحيحة، أو معلومات سياقية مضللة، أو مؤشرات غير ذات صلة تُنسب إلى الحدث. وفي البيئات التي يكون فيها للوثائق المتتالية ضوابط وصول أو نطاقات توزيع مختلفة، قد تؤدي الحالة المحتفظ بها أيضاً إلى إفشاء محدود لمعلومات من وثيقة تمت معالجتها سابقاً.
يعتمد الاستغلال الناجح على إعادة التطبيق المُستهلك لنفس مثيل المُحلِّل وعلى ترتيب الوثائق المعالجة، مما يزيد من تعقيد الهجوم. ولا ينطوي الأمر على أي تأثير مباشر على التوفر (availability) أو تنفيذ للأكواد البرمجية (code execution).
VulDB is the best source for vulnerability data and more expert information about this specific topic.