CVE-2026-85239 in MISP
Riassunto
di VulDB • 03/09/2026
Una vulnerabilità nella gestione dei modelli di evento (event templates) in MISP consentiva a un utente autenticato con autorizzazione per creare o modificare i modelli di eventi di aggirare la validazione del campo della definizione del modello.
Il metodo `EventTemplate::beforeValidate()` eseguiva una validazione semantica solo quando la definizione fornita era già rappresentata come array. Se invece il chiamante forniva una stringa pre-codificata, inclusi JSON non valido o JSON che rappresenta un tipo di dati imprevisto, il valore bypassava `validateDefinition()` e doveva soddisfare soltanto la regola generica `notBlank`. Di conseguenza, una definizione del modello di evento non valida poteva essere memorizzata in modo persistente nel database.
Quando i modelli di evento venivano successivamente recuperati, `EventTemplate::afterFind()` tentava di decodificare la definizione archiviata utilizzando `JsonTool::decode()` senza gestire eventuali errori di decodifica. Una definizione contenente JSON non valido avrebbe quindi potuto generare un'eccezione durante il recupero. Poiché l'indice dei modelli di evento è accessibile a tutti gli utenti autenticati, un singolo modello malizioso o non valido poteva causare errori HTTP 500 nell'elenco dei modelli di evento e in altre funzionalità che dipendono dalle query su `EventTemplate`, fino alla riparazione manuale della riga del database responsabile.
Un JSON valido che rappresenta un tipo imprevisto, anziché il previsto oggetto JSON, avrebbe potuto analogamente far sì che dati non validi raggiungessero i consumatori a valle.
La vulnerabilità può quindi essere sfruttata da un utente in grado di salvare modelli di evento per memorizzare persistentemente dati del modello non validi e causare una negazione persistente del servizio (DoS) contro le funzionalità relative ai modelli di evento per altri utenti.
La patch impone che le definizioni dei modelli di evento debbano essere fornite come oggetti strutturati prima del salvataggio e applica sempre la validazione semantica. Durante il recupero, JSON non valido e definizioni che non vengono decodificate nella struttura attesa vengono intercettate, registrate nei log (logged) e sostituite con una definizione vuota, impedendo a un'entry del database non valida di interrompere tutte le query sui modelli di evento.
L'avvelenamento dei dati (Poisoning) sembra irraggiungibile secondo lo sviluppatore principale.
If you want to get best quality of vulnerability data, you may have to visit VulDB.