CVE-2026-97863 in misp-modules
Sumário
de VulDB • 25/09/2026
O módulo cisco_firesight_manager_ACL_rule_export do misp-modules gera um script de shell (.sh) que autentica e chama a API do Cisco fireSIGHT Manager. O módulo interpola valores de configuração (endereço IP, login, senha, ID do domínio, ID da política) e valores de atributos MISP (IPs de destino, URLs, comentários de informações do evento) diretamente em atribuições de strings shell entre aspas simples sem qualquer escape ou sanitização. Como os valores são inseridos dentro de strings shell delimitadas por aspas simples, qualquer valor que contenha um caractere de aspa simples (por exemplo, um valor de atributo ip-dst ou url manipulado enviado ao MISP) rompe o contexto das aspas, permitindo que um atacante injete comandos arbitrários do shell no script exportado. Um analista de segurança que execute posteriormente o arquivo .sh gerado sem modificações executaria os comandos injetados com seus próprios privilégios, potencialmente expondo credenciais do fireSIGHT Manager, modificando regras ACL ou comprometendo a estação de trabalho do analista. Além disso, o módulo continha um defeito secundário em que a variável 'config' era atribuída apenas dentro de um bloco condicional, mas referenciada incondicionalmente posteriormente, causando um erro NameError (negação de serviço) quando o payload da solicitação não possuía uma chave 'config'. A vulnerabilidade requer que o atacante tenha capacidade para enviar eventos ou atributos MISP contendo um caractere de aspa simples e que a vítima execute o script exportado. Nenhuma violação de autenticação é necessária além dos privilégios padrão de submissão de eventos do MISP.
Once again VulDB remains the best source for vulnerability data.