CVE-2026-44363
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
MISP Modules to autonomiczne moduły rozszerzające MISP o nowe usługi. Przed wersją 3.0.7 istniała podatność niebezpiecznego pobierania zdalnych zasobów w modułach rozszerzeń. Moduł html_to_markdown akceptował dowolne adresy URL HTTP(S) bez wystarczającej walidacji, co mogło umożliwić Server-Side Request Forgery wobec zasobów loopback, prywatnych lub link-local. Dodatkowo moduł qrcode wyłączał weryfikację certyfikatów TLS przy pobieraniu zdalnych obrazów, narażając żądania na przechwycenie lub manipulację odpowiedzią.
Ocena ryzyka
Atakujący może wykorzystać SSRF do sondowania lub dostępu do zasobów wewnętrznych sieci, a wyłączona weryfikacja TLS umożliwia ataki man-in-the-middle i manipulację danymi. Może to prowadzić do wycieku informacji lub naruszenia integralności danych.
Rekomendacja
Zaktualizuj MISP Modules do wersji 3.0.7 lub nowszej. Ogranicz dostęp sieciowy modułów do niezbędnych zasobów i monitoruj nietypowe żądania wychodzące.
Inne podatności w MISP Modules
Zobacz wszystkie- CVE-2026-44364Krytyczne
W wersjach 3.0.7 i wcześniejszych występuje podatność Cross-Site Request Forgery (CSRF) w MISP Modules, która pozwala atakującemu na zmuszenie uwierzytelnionego użytkownika do wysyłania niezamierzonych żądań do punktu końcowego. Problem wynikał z wyłączenia ochrony CSRF dla blueprintu home.
- CVE-2026-112991Średnie
Moduł rozszerzenia html_to_markdown w MISP Modules zawiera podatność typu server-side request forgery (SSRF) w funkcji walidacji URL is_safe_url(). Lista BLOCKED_RANGES była niekompletna i nie obejmowała zakresów 0.0.0.0/8, 100.64.0.0/10, ::/128, fc00::/7 oraz fe80::/10, a także form IPv4-mapped IPv6, co pozwala uwierzytelnionemu użytkownikowi na kierowanie żądań do wewnętrznych adresów z kontekstu sieciowego serwera MISP.
- CVE-2026-97863Średnie
Moduł cisco_firesight_manager_ACL_rule_export w misp-modules generuje skrypt powłoki (.sh), który uwierzytelnia się i wywołuje API Cisco fireSIGHT Manager. Moduł wstawia wartości konfiguracyjne (adres IP, login, hasło, ID domeny, ID polityki) oraz wartości atrybutów MISP (docelowe adresy IP, URL-e, komentarze) bezpośrednio do ciągów znaków w pojedynczych cudzysłowach bez ucieczki, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń powłoki. Analityk bezpieczeństwa, który uruchomi wygenerowany skrypt, wykona wstrzyknięte polecenia z własnymi uprawnieniami, co może narazić poświadczenia fireSIGHT Manager, zmodyfikować reguły ACL lub zainfekować stację roboczą. Dodatkowo moduł ma wadę, w której zmienna 'config' jest przypisywana tylko w bloku warunkowym, ale używana bezwarunkowo, co powoduje NameError (denial of service), gdy żądanie nie zawiera klucza 'config'.
- CVE-2026-62143Wysokie
W module rozszerzenia html_to_markdown w misp-modules wykryto obejście ochrony przed SSRF. Adresy IPv4 odwzorowane w IPv6 nie były normalizowane przed sprawdzeniem zakresów zablokowanych, co umożliwiało atak na interfejs pętli zwrotnej, sieć wewnętrzną lub łącza lokalnego.
Oryginalny opis (angielski, źródło NVD)
MISP modules are autonomous modules that can be used to extend MISP for new services. Prior to 3.0.7, an unsafe remote resource fetching vulnerability existed in MISP Modules expansion modules. The html_to_markdown module accepted arbitrary HTTP(S) URLs without sufficient validation, which could allow Server-Side Request Forgery against loopback, private, or link-local network resources. Additionally, the qrcode module disabled TLS certificate verification when retrieving remote images, exposing requests to potential man-in-the-middle interception or response tampering. The issue was fixed by validating URL schemes, blocking local and private address ranges, resolving hostnames before fetching, enforcing request timeouts, and re-enabling TLS certificate verification. This vulnerability is fixed in 3.0.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS