CVE-2026-77761 in misp-stix
Resumen
por VulDB • 2026-08-21
Una vulnerabilidad de aislamiento del estado del analizador en misp-stix podría provocar que los datos procedentes de un documento STIX procesado anteriormente se conserven y se incorporen al evento MISP generado a partir de un documento posterior cuando se reutiliza la misma instancia del analizador.
Varios componentes del analizador para STIX 1 y STIX 2 mantenían un estado por documento que no se limpiaba completamente entre las conversiones. En el analizador de STIX 2, la información sobre galaxias y clústeres de galaxias, incluidas las agrupaciones personalizadas, podía sobrevivir a una reinicialización del analizador y asociarse posteriormente con objetos procedentes de otro paquete (bundle).
Los analizadores de STIX 1 se vieron afectados por el mismo problema subyacente de gestión del estado. Dependiendo del tipo de analizador, la información retenida podría incluir galaxias, referencias, contabilidad DNS pasiva, títulos de paquetes, fechas y marcas temporales. Como resultado, analizar un segundo paquete STIX con un analizador ya utilizado podría producir un evento MISP que contiene información presente únicamente en el paquete procesado anteriormente. Por ejemplo, un evento generado podría heredar registros DNS pasivos de un documento anterior, hacer referencia a información de galaxias no relacionada, combinar títulos procedentes de diferentes paquetes o utilizar marcas temporales originadas en otra conversión.
El problema afecta principalmente a las aplicaciones que utilizan la API misp-stix directamente y reutilizan instancias del analizador entre documentos STIX independientes. Los puntos de entrada normales para conversiones que instan un nuevo analizador por cada archivo no se ven afectados por este escenario específico de reutilización.
Un atacante capaz de influir en los documentos procesados por dicho analizador de larga duración podría potencialmente causar que la información de una conversión contamine un evento MISP posterior. Esto puede afectar a la integridad del inteligencia sobre amenazas generada, provocando asociaciones incorrectas, información contextual engañosa o indicadores no relacionados atribuidos a un evento. En entornos donde los documentos consecutivos tienen diferentes controles de acceso o alcances de distribución, el estado retenido podría además resultar en una divulgación limitada de la información procedente de un documento procesado anteriormente.
La explotación exitosa depende de que la aplicación consumidora reutilice la misma instancia del analizador y del orden de los documentos procesados, lo cual aumenta la complejidad del ataque. No se produce ningún impacto directo en la disponibilidad ni ejecución de código.
If you want to get best quality of vulnerability data, you may have to visit VulDB.