CVE-2026-77710 in misp-stix
Zusammenfassung
von VulDB • 21.08.2026
Eine Schwachstelle in misp-stix könnte es ermöglichen, dass ein speziell angefertigtes STIX-Dokument die sicherheitsrelevanten Metadaten von MISP-Attributen während des Imports beeinflusst.
Die Importlogik für STIX wählte automatisch zwischen dem internen MISP-Parser und dem externen STIX-Parser basierend auf den im STIX-Dokument selbst enthaltenen Metadaten aus. Für STIX2 konnte das Vorhandensein von MIPS-spezifischen Tool-Labels dazu führen, dass ein Dokument als von MISP stammend klassifiziert wurde; ähnlich verhielt es sich bei STIX1, wo der Dokumenttitel entscheidend war. Diese Klassifikationsindikatoren werden vollständig vom STIX-Ersteller kontrolliert und können daher keine vertrauenswürdige Angabe zur Herkunft des Dokuments darstellen. Die begleitende Korrektur weist explizit darauf hin, dass die Parser-Auswahl zuvor ausschließlich auf Labels oder Header-Titeln basierte, die jeder Ersteller schreiben konnte, und führt einen expliziten Klassifizierungsparameter ein, der es Aufrufern ermöglicht, diese Erkennung zu überschreiben.
Wenn STIX2-Inhalte als interner MISP-Export behandelt wurden, wurden Attribute in einem x-misp-object durch Kopieren des vollständigen x_misp_attributes-Wörterbuchs und direktes Übergeben an misp_object.add_attribute() konvertiert. Folglich konnte ein speziell angefertigtes STIX-Bundle Felder bereitstellen, die nicht Teil des erwarteten STIX-zu-MISP-Rundlauf-Formats waren, einschließlich sicherheitsrelevanter Eigenschaften wie distribution, sharing_group_id, tags oder anderer MISP-Attributfelder.
Ein Angreifer, der in der Lage ist, ein STIX-Dokument zum Import bereitzustellen, könnte daher die Marker fälschen, die zur Identifizierung von MIPS-generiertem Inhalt verwendet werden, und zusätzliche Attribut-Eigenschaften injizieren. Dies könnte die Verteilung, Freigabebeschränkungen, Klassifizierung oder semantischen Metadaten importierter Attribute verändern, was potenziell dazu führen kann, dass Informationen entgegen der Richtlinie der importierenden Organisation geteilt werden oder die nachgelagerte Verarbeitung und Automatisierung basierend auf angreiferkontrollierten Tags oder Metadaten beeinflusst wird.
Die Schwachstelle resultiert aus der dynamischen Zuweisung extern bereitgestellter Objekt-Eigenschaften ohne Einschränkung auf eine erwartete Menge von Attributen, was CWE-915 entspricht. MITRE beschreibt diese Schwäche spezifisch als das Akzeptieren extern influenzierter Felder ohne Kontrolle darüber, welche Objektattribute geändert werden dürfen, und empfiehlt eine Allowlist (Zulassungsliste), was der vom Patch implementierten Vorgehensweise entspricht. Das Problem bei der Parser-Auswahl entspricht zusätzlich CWE-807, da ein nicht vertrauenswürdiger Wert verwendet wurde, um eine sicherheitsrelevante Vertrauens-/Klassifizierungsentscheidung zu treffen.
Der Angriff ist auch konsistent mit CAPEC-153 (Input Data Manipulation), bei dem ein Angreifer die Struktur oder Flags der bereitgestellten Daten so kontrolliert, dass das Ziel einen anderen Verarbeitungspfad auswählt oder den Inhalt anders interpretiert als beabsichtigt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.