CVE-2026-77761 in misp-stix
Сводка
по VulDB • 21.08.2026
Уязвимость нарушения изоляции состояния парсера в misp-stix может привести к сохранению и включению данных из ранее обработанного документа STIX в событие MISP, сгенерированное на основе последующего документа, при повторном использовании одного экземпляра парсера.
Несколько компонентов парсинга для форматов STIX 1 и STIX 2 поддерживали состояние на уровне отдельного документа, которое не полностью очищалось между преобразованиями. В парсере STIX 2 информация о галактиках (galaxy) и кластерах галактик (galaxy-cluster), включая пользовательские кластеры, могла сохраняться после сброса состояния парсера и впоследствии ассоциироваться с объектами из другого пакета данных (bundle).
Парсеры для STIX 1 также страдали от той же проблемы управления состоянием. В зависимости от типа парсера сохраняемая информация могла включать данные о галактиках, ссылки, записи пассивного DNS (passive DNS), названия пакетов, даты и временные метки. В результате парсинг второго пакета STIX с уже использованным экземпляром парсера мог привести к созданию события MISP, содержащего информацию, присутствовавшую только в ранее обработанном пакете. Например, сгенерированное событие могло наследовать записи пассивного DNS из предыдущего документа, ссылаться на несвязанные данные о галактиках, объединять названия из разных пакетов или использовать временные метки, происходящие из другого преобразования.
Проблема в первую очередь затрагивает приложения, которые напрямую используют API misp-stix и повторно используют экземпляры парсера для независимых документов STIX. Обычные точки входа для конвертации, создающие новый экземпляр парсера для каждого файла, не подвержены этому сценарию повторного использования.
Атакующий, способный влиять на документы, обрабатываемые таким долгоживущим (long-lived) парсером, потенциально может вызвать загрязнение данных из одного преобразования последующего события MISP. Это может повлиять на целостность генерируемой разведки об угрозах (threat intelligence), приведя к неверным ассоциациям, вводящей в заблуждение контекстной информации или приписыванию несвязанных индикаторов событию. В средах, где последовательные документы имеют разные уровни контроля доступа или области распространения, сохраненное состояние также может привести к ограниченному раскрытию (limited disclosure) информации из ранее обработанного документа.
Успешная эксплуатация зависит от того, что приложение-потребитель повторно использует один и тот же экземпляр парсера, а также от порядка обрабатываемых документов, что повышает сложность атаки. Прямое влияние на доступность (availability) или выполнение кода не предусмотрено.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.