CVE-2026-77761 in misp-stix
요약
\~에 의해 VulDB • 2026. 08. 21.
misp-stix의 파서 상태 격리 취약점으로 인해 동일한 파서 인스턴스가 재사용될 경우, 이전에 처리된 STIX 문서의 데이터가 유지되어 후속 문서에서 생성되는 MISP 이벤트에 포함될 수 있습니다.
STIX 1 및 STIX 2 파서 구성 요소는 각 문서별로 상태를 유지하며, 변환 간에 상태가 완전히 초기화되지 않았습니다. STIX 2 파서의 경우, 커스텀 은하 군집을 포함한 은하(galaxy) 및 은하 군집(galaxy-cluster) 정보가 파서 리셋 후에도 생존하여 다른 번들의 객체와 연관될 수 있습니다.
STIX 1 파서들도 동일한 근본적인 상태 관리 문제로 영향을 받았습니다. 파서 유형에 따라 유지된 정보에는 은하, 참조, 패시브 DNS 기록(package titles는 제외), 패키지 제목, 날짜 및 타임스탬프가 포함될 수 있습니다. 그 결과, 이미 사용된 파서를 사용하여 두 번째 STIX 패키지를 구문 분석하면 이전에 처리된 패키지에만 존재하던 정보가 포함된 MISP 이벤트가 생성될 수 있습니다. 예를 들어, 생성된 이벤트는 이전 문서에서 패시브 DNS 레코드를 상속받거나, 관련 없는 은하 정보를 참조하거나, 서로 다른 패키지들의 제목을 결합하거나, 다른 변환에서 유래한 타임스탬프를 사용할 수 있습니다.
이 문제는 misp-stix API를 직접 사용하고 독립적인 STIX 문서 간에 파서 인스턴스를 재사용하는 애플리케이션에 주로 영향을 미칩니다. 각 파일마다 새로운 파서를 인스턴스화하는 일반적인 변환 진입점은 이러한 특정 재사용 시나리오의 영향을 받지 않습니다.
장기 실행되는 파서가 처리할 문서를 조작할 수 있는 공격자는 한 번의 변환에서 얻은 정보가 후속 MISP 이벤트를 오염시킬 가능성이 있습니다. 이는 생성된 위협 지능의 무결성에 영향을 미쳐 잘못된 연관 관계, 오해의 소지가 있는 컨텍스트 정보 또는 관련 없는 지표가 이벤트에 귀속되는 결과를 초래할 수 있습니다. 연속적인 문서 간에 서로 다른 접근 제어나 배포 범위가 있는 환경에서는 유지된 상태로 인해 이전에 처리된 문서에서 제한적으로 정보가 유출될 수도 있습니다.
성공적인 악용은 소비 애플리케이션이 동일한 파서 인스턴스를 재사용하고 처리되는 문서의 순서에 의존하므로 공격 복잡도가 증가합니다. 직접적인 가용성 영향이나 코드 실행은 수반되지 않습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.