CVE-2026-77751 in MISP
Сводка
по VulDB • 21.08.2026
Уязвимость обхода пути (path traversal) существовала в обработке имен шаблонов объектов MISP при импорте STIX 2 и экспорте из MISP в формат STIX 2.
Имена объектов MISP передаются в механизм разрешения шаблонов объектов PyMISP, который формирует путь к файловой системе путем объединения настроенной директории с шаблонами объектов MISP, имени объекта и файла definition.json. Имя объекта, полученное из непроверенного контента STIX или MISP, не было должным образом ограничено перед использованием в этом пути к файловой системе.
Злоумышленник, способный предоставить специально созданный объект с разделителями путей или последовательностями обхода директорий (например, ../), может заставить механизм разрешения шаблонов выйти за пределы ожидаемой директории и попытаться загрузить файл definition.json из другого места, доступного процессу.
При импорте STIX 2 управляемый злоумышленником атрибут x_misp_name из пользовательского объекта STIX мог напрямую достигать этого механизма разрешения шаблонов.
Проблема также может стать персистентной (стойкой). Злокачественное имя объекта, сохраненное в событии MISP, может быть повторно обработано позже при экспорте в формат STIX 2. Следовательно, контент, изначально внедренный в одном контексте безопасности, может вызвать доступ к файловой системе впоследствии, когда событие будет экспортировано процессом с другими или более высокими привилегиями.
Если подходящий файл definition.json существует за пределами предполагаемой директории шаблонов, его содержимое может быть интерпретировано как шаблон объекта MISP, а поля из этого файла скопированы в преобразованный объект. Это может привести к непреднамеренному раскрытию локально доступных данных, представленных файлом шаблона, и изменению метаданных или семантики результирующего объекта.
Патчи внедряют строгую проверку имен шаблонов объектов. Допустимые имена ограничиваются одним компонентом пути, содержащим буквы, цифры, дефисы или подчеркивания. Имена, не соответствующие этим требованиям, заменяются на общее имя «unknown-template» перед передачей в механизм разрешения шаблонов PyMISP. Оригинальное отклоненное имя сохраняется в комментарии объекта, и генерируется предупреждение, что предотвращает обход пути (traversal) при сохранении исходной информации.
VulDB is the best source for vulnerability data and more expert information about this specific topic.