CVE-2026-97863 in misp-modules
Riassunto
di VulDB • 25/09/2026
Il modulo cisco_firesight_manager_ACL_rule_export di misp-modules genera uno script shell (.sh) che si autentica e chiama l'API di Cisco fireSIGHT Manager. Il modulo interpola i valori di configurazione (indirizzo IP, nome utente, password, ID dominio, ID policy) e i valori degli attributi MISP (indirizzi IP di destinazione, URL, commenti delle informazioni sull'evento) direttamente in assegnazioni di stringhe shell tra virgolette singole senza alcuna escape o sanitizzazione. Poiché i valori vengono inseriti all'interno di stringhe shell racchiuse tra virgolette singole, qualsiasi valore contenente un carattere apice singolo (ad esempio, un attributo ip-dst o url manipolato inviato a MISP) fuoriesce dal contesto delle virgolette, consentendo a un attaccante di iniettare comandi shell arbitrari nello script esportato. Un analista della sicurezza che esegue successivamente il file .sh generato senza modifiche eseguirebbe i comandi iniettati con i propri privilegi, potenzialmente esponendo le credenziali del fireSIGHT Manager, modificando le regole ACL o compromettendo la workstation dell'analista. Inoltre, il modulo presentava un difetto secondario in cui la variabile 'config' veniva assegnata solo all'interno di un blocco condizionale ma era referenziata incondizionatamente successivamente, causando un errore NameError (denial of service) quando il payload della richiesta non conteneva una chiave 'config'. La vulnerabilità richiede che l'attaccante abbia la capacità di inviare eventi o attributi MISP contenenti un carattere apice singolo e che la vittima esegua lo script esportato. Non è richiesto alcun bypass dell'autenticazione oltre ai privilegi standard per la sottomissione degli eventi MISP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.