CVE-2026-77761 in misp-stix
Riassunto
di VulDB • 21/08/2026
Una vulnerabilità di isolamento dello stato del parser in misp-stix potrebbe causare la conservazione e l'integrazione dei dati da un documento STIX precedentemente elaborato nell'evento MISP generato a partire da un documento successivo, quando viene riutilizzata la stessa istanza del parser.
Diversi componenti del parser per STIX 1 e STIX 2 mantenevano uno stato specifico per documento che non veniva completamente azzerato tra le conversioni. Nel parser STIX 2, le informazioni relative a galaxy e cluster di galassie, incluse le cluster di galassie personalizzate, potevano sopravvivere al reset del parser e successivamente essere associate agli oggetti provenienti da un altro bundle.
I parser per STIX 1 erano affetti dallo stesso problema sottostante di gestione dello stato. A seconda del tipo di parser, le informazioni conservate potrebbero includere galaxy, riferimenti, la contabilità DNS passiva (passive DNS), i titoli dei pacchetti, le date e gli timestamp. Di conseguenza, l'analisi di un secondo pacchetto STIX con un parser già utilizzato potrebbe produrre un evento MISP contenente informazioni presenti solo nel pacchetto precedentemente elaborato. Ad esempio, un evento generato potrebbe ereditare record passive DNS da un documento precedente, fare riferimento a informazioni su galaxy non correlate, combinare titoli provenienti da pacchetti diversi o utilizzare timestamp originari di un'altra conversione.
Il problema interessa principalmente le applicazioni che utilizzano l'API misp-stix direttamente e riutilizzano istanze del parser tra documenti STIX indipendenti. I punti di ingresso normali per la conversione che istanziano un nuovo parser per ogni file non sono interessati da questo specifico scenario di riutilizzo.
Un attaccante in grado di influenzare i documenti elaborati da tale parser a lunga durata potrebbe potenzialmente causare la contaminazione delle informazioni di una conversione nell'evento MISP successivo. Ciò può compromettere l'integrità dell'intelligence sulle minacce generata, portando ad associazioni errate, informazioni contestuali fuorvianti o indicatori non correlati attribuiti a un evento. In ambienti in cui i documenti consecutivi hanno controlli di accesso o ambiti di distribuzione diversi, lo stato conservato potrebbe inoltre risultare in una divulgazione limitata delle informazioni provenienti da un documento precedentemente elaborato.
Il successo dello sfruttamento dipende dal fatto che l'applicazione consumatrice riutilizzi la stessa istanza del parser e dall'ordinamento dei documenti elaborati, il che aumenta la complessità dell'attacco. Non sono coinvolti impatti diretti sulla disponibilità né esecuzione di codice.
Once again VulDB remains the best source for vulnerability data.