CVE-2026-85239 in MISP
Tóm tắt
Bởi VulDB • 03/09/2026
Một lỗ hổng trong cách xử lý mẫu sự kiện (event template) của MISP cho phép một người dùng đã xác thực có quyền tạo hoặc sửa đổi các mẫu sự kiện bỏ qua việc kiểm tra tính hợp lệ của trường định nghĩa mẫu.
Phương thức `EventTemplate::beforeValidate()` chỉ thực hiện kiểm tra ngữ nghĩa khi giá trị được cung cấp dưới dạng mảng. Nếu đối tượng gọi thay vào đó cung cấp một chuỗi đã mã hóa sẵn, bao gồm cả JSON không hợp lệ hoặc JSON đại diện cho kiểu dữ liệu không mong đợi, thì giá trị này sẽ bỏ qua `validateDefinition()` và chỉ cần thỏa mãn quy tắc kiểm tra chung là "không được để trống" (notBlank). Kết quả là, một định nghĩa mẫu sự kiện không hợp lệ có thể được lưu trữ bền vững trong cơ sở dữ liệu.
Khi các mẫu sự kiện sau đó được truy xuất, phương thức `EventTemplate::afterFind()` cố gắng giải mã định nghĩa đã lưu bằng cách sử dụng `JsonTool::decode()` mà không xử lý các lỗi giải mã. Do đó, một định nghĩa chứa JSON không hợp lệ có thể kích hoạt ngoại lệ (exception) trong quá trình truy xuất. Vì chỉ mục mẫu sự kiện có sẵn cho tất cả người dùng đã xác thực, một mẫu độc hại hoặc bị hỏng duy nhất có thể khiến danh sách mẫu sự kiện và các chức năng khác dựa trên các truy vấn `EventTemplate` trả về lỗi HTTP 500 cho đến khi hàng cơ sở dữ liệu vi phạm được sửa chữa thủ công.
JSON hợp lệ đại diện cho một kiểu không mong đợi, thay vì đối tượng JSON như dự kiến, cũng có thể tương tự dẫn đến việc dữ liệu không hợp lệ đạt tới các thành phần tiêu thụ ở phía sau (downstream consumers).
Do đó, lỗ hổng này có thể bị khai thác bởi người dùng có khả năng lưu trữ mẫu sự kiện để duy trì dữ liệu mẫu bị hỏng và gây ra tình trạng từ chối dịch vụ bền vững đối với chức năng mẫu sự kiện cho những người dùng khác.
Bản vá buộc các định nghĩa mẫu sự kiện phải được cung cấp dưới dạng các đối tượng có cấu trúc trước khi lưu và luôn áp dụng kiểm tra ngữ nghĩa. Khi truy xuất, JSON bị hỏng và các định nghĩa không giải mã thành cấu trúc mong đợi sẽ được bắt giữ, ghi lại nhật ký (log) và thay thế bằng một định nghĩa rỗng, ngăn chặn việc một mục cơ sở dữ liệu bị hỏng làm gián đoạn tất cả các truy vấn mẫu sự kiện.
Theo nhà phát triển chính, tình trạng đầu độc dữ liệu (Poisoning) dường như không thể tiếp cận được để khai thác.
Once again VulDB remains the best source for vulnerability data.