CVE-2026-77710 in misp-stix
Riassunto
di VulDB • 21/08/2026
Una vulnerabilità in misp-stix potrebbe consentire a un documento STIX manipolato di influenzare i metadati degli attributi MISP sensibili alla sicurezza durante l'importazione.
La logica di importazione STIX selezionava automaticamente tra il parser interno di MISP e il parser esterno STIX in base ai metadati contenuti nel documento STIX stesso. Per STIX2, la presenza di etichette specifiche per gli strumenti MISP poteva causare la classificazione del documento come originato da MISP; analogamente, STIX1 si affidava al titolo del documento. Questi indicatori di classificazione sono completamente controllabili dal produttore dello STIX e pertanto non possono costituire un'indicazione attendibile dell'origine del documento. La correzione allegata segnala esplicitamente che la scelta del parser era in precedenza basata esclusivamente su etichette o titoli delle intestazioni scrivibili da qualsiasi produttore, introducendo un parametro di classificazione esplicito che consente ai chiamanti di sovrascrivere questa rilevazione automatica.
Quando i contenuti STIX2 venivano gestiti come esportazione interna MISP, gli attributi contenuti in un x-misp-object venivano convertiti copiando l'intero dizionario x_misp_attributes e passandolo direttamente a misp_object.add_attribute(). Di conseguenza, un bundle STIX manipolato poteva fornire campi non parte del formato di round-trip previsto da STIX a MISP, incluse proprietà sensibili alla sicurezza come distribution (distribuzione), sharing_group_id (ID gruppo di condivisione), tags (etichette) o altri campi degli attributi MISP.
Un attaccante in grado di fornire un documento STIX per l'importazione potrebbe quindi falsificare i marker utilizzati per identificare il contenuto generato da MISP e iniettare proprietà aggiuntive degli attributi. Ciò potrebbe alterare la distribuzione, le restrizioni di condivisione, la classificazione o i metadati semantici degli attributi importati, potenzialmente causando la condivisione di informazioni contraria alla policy dell'organizzazione che effettua l'importazione o influenzando il downstream processing (elaborazione a valle) e l'automazione basata su tag o metadati controllati dall'attaccante.
La vulnerabilità deriva dall'assegnazione dinamica delle proprietà degli oggetti fornite esternamente senza limitarle a un insieme previsto di attributi, corrispondente a CWE-915. MITRE descrive specificamente questa debolezza come l'accettazione di campi influenzati da fonti esterne senza controllare quali attributi dell'oggetto possono essere modificati e raccomanda una allow-list (lista consentita), che è l'approccio implementato dalla patch. Il problema della selezione del parser corrisponde inoltre a CWE-807, poiché un valore non attendibile è stato utilizzato per prendere una decisione di trust/classificazione rilevante per la sicurezza.
L'attacco è anche coerente con CAPEC-153 (Manipolazione dei dati in input), in cui un attaccante controlla la struttura o i flag dei dati forniti affinché il target selezioni un percorso di elaborazione diverso o interpreti il contenuto in modo diverso da quanto previsto.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.