CVE-2026-77755 in misp-stix
要約
〜によって VulDB • 2026年08月21日
MISP-STIXにおいて、攻撃者が制御するSTIX 1またはSTIX 2ドキュメントの処理時に、サービス運用妨害（DoS）脆弱性が特定されました。
STIXインポートコードは、いくつかのパースおよび読み込み失敗に対して`sys.exit()`を使用していました。`SystemExit`は`Exception`ではなく`BaseException`を継承しているため、これらの失敗によりライブラリの呼び出し元で使用される例外ハンドラが回避されていました。その結果、不正な形式のSTIXドキュメントは、回復可能なパースエラーを返すのではなく、長時間実行中のインポートプロセスを終了させる可能性があります。
さらに、パース前にSTIXドキュメントのサイズ制限が設けられていませんでした。提出されたドキュメントは、有効性やタイプが評価される前にメモリ上に読み込まれて展開されていました。ドキュメントの内容とパースパスによっては、処理時にメモリの使用量が入力サイズの約2倍から7倍に達する可能性があり、十分に大きなSTIXドキュームによって過剰なメモリおよびCPUリソースの消費を招き、インポートサービスの終了または深刻なパフォーマンス劣化を引き起こす可能性があります。
MISP-STIXのインポートワークフローでSTIXコンテンツを提供できる攻撃者は、これらの条件のいずれかを悪用して可用性に影響を与えることができます。不正な形式のドキュメントは捕捉されない`SystemExit`を通じてプロセスが異常終了し、大きなドキュームは逆シリアル化および変換中にリソースを枯渇させる可能性があります。
修正では、プロセスを終了させる`sys.exit()`呼び出しを、`STIXLoadingError`や`MissingSTIXContentError`などの捕捉可能な例外に置き換え、STIXの検出から変換までの一連のプロセス全体で例外ハンドリングを拡張しました。インポーターはまた、パース前に入力サイズの制限を適用するようになりました。デフォルトの最大値は100 MBであり、呼び出し元によって調整可能であり、必要に応じて明示的に無効にすることもできます。STIX 1の入力については、完全なXMLツリーが構築される前に期待されるルート要素の有無もチェックされます。
影響 成功した攻撃により以下が発生する可能性があります：
* 長時間実行中のMISP-STIXインポーターの終了； * 過剰なメモリ割り当て； * 過剰なCPU消費； * コンバーターに依存するサービスの劣化または一時的な利用不可； * バッチ処理または自動化されたSTIX取り込みワークフローの中断。
Once again VulDB remains the best source for vulnerability data.