CVE-2026-77751 in MISP
要約
〜によって VulDB • 2026年08月21日
STIX 2のインポートおよびMISPからSTIX 2へのエクスポート時のMISPオブジェクトテンプレート名の処理において、パストラバーサルの脆弱性が存在しました。
MISPオブジェクト名はPyMISPのobject-template解決メカニズムに渡され、このメカニズムは設定されたMISP object-templateディレクトリ、オブジェクト名、およびdefinition.jsonを結合してファイルシステムパスを構築します。信頼できないSTIXまたはMISPコンテンツ由来のオブジェクト名が、このファイルシステムパスで使用される前に十分に制限されていませんでした。
したがって、../などのパス区切り文字やトラバーサルシーケンスを含むカスタムされたオブジェクト名を提供できる攻撃者は、テンプレート解決プロセスを意図したテンプレートディレクトリから脱出させ、プロセッサがアクセス可能な他の場所にあるdefinition.jsonファイルの読み込みを試みさせる可能性があります。
STIX 2インポート時、攻撃者が制御するx_misp_name（カスタムSTIXオブジェクト由来）がこのテンプレート解決メカニズムに直接到達することができました。
この問題は永続化する可能性もあります。MISPイベント内に保存された悪意のあるオブジェクト名は、後でSTIX 2エクスポート時に再度処理される可能性があります。その結果、あるセキュリティコンテキストで元々導入されたコンテンツが、異なるまたはより高い権限で動作するプロセスによってイベントがエクスポートされるときにファイルシステムアクセスを引き起こすことがあります。
意図したテンプレートディレクトリの外側に適切なdefinition.jsonファイルが存在する場合、その内容はMISPオブジェクトテンプレートとして解釈され、そのファイルのフィールドが変換されたオブジェクトにコピーされます。これにより、テンプレートファイルで表されるローカルアクセシブルなデータの意図しない開示や、結果となるオブジェクトのメタデータまたはセマンティクスの変更が生じる可能性があります。
パッチはobject-template名の厳格な検証を導入します。有効な名前は、英数字、ハイフン、アンダースコアのみを含む単一のパスコンポーネントに制限されます。これらの要件を満たさない名前は、PyMISPテンプレート解決処理が行われる前に一般的なunknown-template名に置き換えられます。元の拒否された名前はオブジェクトのコメント内に保持され、警告が生成されるため、トラバーサルは防止されつつソース情報が維持されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.