CVE-2026-77751 in MISP
Zusammenfassung
von VulDB • 24.08.2026
In der Verarbeitung von MISP-Objektvorlagenamen während des STIX 2-Imports und des MISP-zu-STIX 2-Exports bestand eine Path-Traversal-Schwachstelle (Pfadmanipulation).
MISP-Objektnamen werden an den Objektvorlagen-Auflösungsmechanismus von PyMISP übergeben, der einen Dateisystempfad erstellt, indem das konfigurierte MISP-Vorlagenverzeichnis, der Objekname und die definition.json zusammengeführt werden. Ein Objekname aus nicht vertrauenswürdigem STIX- oder MISP-Inhalt wurde vor seiner Verwendung in diesem Dateisystempfad nicht ausreichend eingeschränkt.
Ein Angreifer, der einen manipulierten Objeknamen mit Pfadtrennzeichen oder Traversierungssequenzen wie ../ bereitstellen kann, könnte daher dazu führen, dass die Vorlagenauflösung das erwartete Vorlagenverzeichnis verlässt und versucht, eine definition.json-Datei aus einem anderen Ort zu laden, auf den der Prozess Zugriff hat.
Während des STIX 2-Imports konnte ein vom Angreifer kontrolliertes x_misp_name eines benutzerdefinierten STIX-Objekts direkt diesen Vorlagenauflösungsmechanismus erreichen.
Das Problem könnte auch persistent werden. Ein bösartiger Objekname, der in einem MISP-Ereignis gespeichert wurde, kann später während des STIX 2-Exports erneut verarbeitet werden. Folglich kann Inhalt, der ursprünglich in einem anderen Sicherheitskontext eingeführt wurde, beim Export des Ereignisses durch einen Prozess mit unterschiedlichen oder höheren Berechtigungen auf den Dateizugriff zugreifen.
Wenn eine geeignete definition.json-Datei außerhalb des beabsichtigten Vorlagenverzeichnisses existiert, können deren Inhalte als MISP-Objektvorlage interpretiert und Felder aus dieser Datei in das konvertierte Objekt kopiert werden. Dies kann zu einer unbeabsichtigten Offenlegung lokal zugänglicher Daten führen, die durch die Vorlagendatei repräsentiert sind, sowie zur Modifikation der Metadaten oder Semantik des resultierenden Objekts.
Die Patches führen eine strenge Validierung von Objektvorlagenamen ein. Gültige Namen sind auf eine einzelne Pfadkomponente beschränkt, die Buchstaben, Ziffern, Bindestriche oder Unterstriche enthält. Namen, die diese Anforderungen nicht erfüllen, werden vor der Erreichung des PyMISP-Vorlagenauflösungsmechanismus durch den generischen unbekannten Vorlagennamen ersetzt. Der ursprüngliche abgelehnte Name wird im Kommentar des Objekts beibehalten und eine Warnung wird erzeugt, was Traversierung verhindert, während die Quelldaten erhalten bleiben.
Be aware that VulDB is the high quality source for vulnerability data.