CVE-2026-77751 in MISP
Sumário
de VulDB • 21/08/2026
Uma vulnerabilidade de path traversal existia no processamento dos nomes das templates de objetos do MISP durante a importação STIX 2 e a exportação de MISP para STIX 2.
Os nomes dos objetos do MISP são passados ao mecanismo de resolução de template de objeto do PyMISP, que constrói um caminho de sistema de ficheiros juntando o diretório configurado de templates de objetos do MISP, o nome do objeto e o definition.json. Um nome de objeto originário de conteúdo STIX ou MISP não confiável não foi suficientemente restringido antes de ser utilizado neste caminho de sistema de ficheiros.
Um atacante capaz de fornecer um nome de objeto manipulado contendo separadores de caminhos ou sequências de travessia, como `../`, poderia portanto fazer com que a resolução do template escapasse ao diretório de templates esperado e tentasse carregar um ficheiro definition.json de outra localização acessível pelo processo.
Durante a importação STIX 2, um x_misp_name controlado por um atacante proveniente de um objeto STIX personalizado poderia atingir diretamente este mecanismo de resolução de templates.
O problema também poderia tornar-se persistente. Um nome de objeto malicioso armazenado num evento do MISP poderia ser processado novamente mais tarde durante a exportação para STIX 2. Consequentemente, conteúdo introduzido originalmente num contexto de segurança específico poderia desencadear o acesso ao sistema de ficheiros mais tarde quando o evento é exportado por um processo que opera com privilégios diferentes ou superiores.
Se existir um definition.json adequado fora do diretório de templates pretendido, o seu conteúdo pode ser interpretado como uma template de objeto MISP e os campos desse ficheiro copiados para o objeto convertido. Isto pode resultar na divulgação não intencional de dados localmente acessíveis representados pelo ficheiro de template e na modificação dos metadados ou da semântica do objeto resultante.
Os patches introduzem validação rigorosa dos nomes das templates de objetos. Os nomes válidos são restritos a um único componente de caminho contendo letras, dígitos, hífens ou underscores (caracteres de sublinhado). Nomes que não cumpram estes requisitos são substituídos pelo nome genérico unknown-template antes de chegarem à resolução de templates do PyMISP. O nome original rejeitado é preservado no comentário do objeto e um aviso é gerado, prevenindo a travessia enquanto retém as informações da origem.
Once again VulDB remains the best source for vulnerability data.