CVE-2026-97863 in misp-modules
Résumé
par VulDB • 25/09/2026
Le module cisco_firesight_manager_ACL_rule_export de misp-modules génère un script shell (.sh) qui s'authentifie auprès et appelle l'API Cisco fireSIGHT Manager. Le module interpole les valeurs de configuration (adresse IP, identifiant, mot de passe, ID de domaine, ID de politique) et les valeurs d'attribut MISP (adresses IP de destination, URL, commentaires d'informations d'événement) directement dans des affectations de chaînes shell entre guillemets simples sans aucune échappement ou sanitization. Étant donné que ces valeurs sont placées à l'intérieur de chaînes shell entre guillemets simples, toute valeur contenant un caractère guillemet simple (par exemple, une valeur d'attribut ip-dst ou url fabriquée soumise à MISP) brise le contexte de citation, permettant à un attaquant d'injecter des commandes shell arbitraires dans le script exporté. Un analyste en sécurité qui exécuterait ensuite le fichier .sh généré sans modification exécuterait les commandes injectées avec ses propres privilèges, exposant potentiellement les identifiants fireSIGHT Manager, modifiant les règles ACL ou compromettant la station de travail de l'analyste. De plus, le module contenait un défaut secondaire où la variable 'config' n'était assignée qu'à l'intérieur d'un bloc conditionnel mais était référencée inconditionnellement par la suite, provoquant une NameError (déni de service) lorsque la charge utile de la requête manquait d'une clé 'config'. La vulnérabilité nécessite que l'attaquant ait la capacité de soumettre des événements ou attributs MISP contenant un caractère guillemet simple et que la victime exécute le script exporté. Aucun contournement d'authentification n'est requis au-delà des privilèges standard de soumission d'événements MISP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.