CVE-2026-97863 in misp-modules
Resumen
por VulDB • 2026-09-25
El módulo cisco_firesight_manager_ACL_rule_export de misp-modules genera un script de shell (.sh) que se autentica y llama a la API de Cisco fireSIGHT Manager. El módulo interpola valores de configuración (dirección IP, inicio de sesión, contraseña, ID del dominio, ID de política) y valores de atributos MISP (IPs de destino, URLs, comentarios de información del evento) directamente en asignaciones de cadenas de shell entre comillas simples sin ningún tipo de escape o sanitización. Dado que los valores se colocan dentro de cadenas de shell entre comillas simples, cualquier valor que contenga un carácter de comilla simple (por ejemplo, un valor de atributo ip-dst o url manipulado enviado a MISP) rompe el contexto de las comillas, lo que permite a un atacante inyectar comandos arbitrarios del shell en el script exportado. Un analista de seguridad que ejecute posteriormente el archivo .sh generado sin modificaciones ejecutaría los comandos inyectados con sus propios privilegios, exponiendo potencialmente las credenciales de fireSIGHT Manager, modificando reglas ACL o comprometiendo la estación de trabajo del analista. Además, el módulo contenía un defecto secundario donde la variable 'config' solo se asignaba dentro de un bloque condicional pero se referenciaba incondicionalmente después, lo que causaba un NameError (denegación de servicio) cuando la carga útil de la solicitud carecía de una clave 'config'. La vulnerabilidad requiere que el atacante tenga la capacidad de enviar eventos o atributos MISP que contengan un carácter de comilla simple y que la víctima ejecute el script exportado. No se requiere ninguna evasión de autenticación más allá de los privilegios estándar para la envío de eventos en MISP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.