CVE-2026-62143
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W module rozszerzenia html_to_markdown w misp-modules wykryto obejście ochrony przed SSRF. Adresy IPv4 odwzorowane w IPv6 nie były normalizowane przed sprawdzeniem zakresów zablokowanych, co umożliwiało atak na interfejs pętli zwrotnej, sieć wewnętrzną lub łącza lokalnego.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych usług HTTP, interfejsów administracyjnych lub metadanych instancji chmury, a pobrane treści mogą zostać zwrócone jako przekonwertowany Markdown, co prowadzi do wycieku poufnych informacji.
Rekomendacja
Należy natychmiast zaktualizować misp-modules do wersji zawierającej poprawkę normalizującą adresy IPv4-mapped IPv6 oraz odrzucającą URL-e bez prawidłowej nazwy hosta.
Inne podatności w misp-modules
Zobacz wszystkie- CVE-2026-44364Krytyczne
W wersjach 3.0.7 i wcześniejszych występuje podatność Cross-Site Request Forgery (CSRF) w MISP Modules, która pozwala atakującemu na zmuszenie uwierzytelnionego użytkownika do wysyłania niezamierzonych żądań do punktu końcowego. Problem wynikał z wyłączenia ochrony CSRF dla blueprintu home.
- CVE-2026-112991Średnie
Moduł rozszerzenia html_to_markdown w MISP Modules zawiera podatność typu server-side request forgery (SSRF) w funkcji walidacji URL is_safe_url(). Lista BLOCKED_RANGES była niekompletna i nie obejmowała zakresów 0.0.0.0/8, 100.64.0.0/10, ::/128, fc00::/7 oraz fe80::/10, a także form IPv4-mapped IPv6, co pozwala uwierzytelnionemu użytkownikowi na kierowanie żądań do wewnętrznych adresów z kontekstu sieciowego serwera MISP.
- CVE-2026-97863Średnie
Moduł cisco_firesight_manager_ACL_rule_export w misp-modules generuje skrypt powłoki (.sh), który uwierzytelnia się i wywołuje API Cisco fireSIGHT Manager. Moduł wstawia wartości konfiguracyjne (adres IP, login, hasło, ID domeny, ID polityki) oraz wartości atrybutów MISP (docelowe adresy IP, URL-e, komentarze) bezpośrednio do ciągów znaków w pojedynczych cudzysłowach bez ucieczki, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń powłoki. Analityk bezpieczeństwa, który uruchomi wygenerowany skrypt, wykona wstrzyknięte polecenia z własnymi uprawnieniami, co może narazić poświadczenia fireSIGHT Manager, zmodyfikować reguły ACL lub zainfekować stację roboczą. Dodatkowo moduł ma wadę, w której zmienna 'config' jest przypisywana tylko w bloku warunkowym, ale używana bezwarunkowo, co powoduje NameError (denial of service), gdy żądanie nie zawiera klucza 'config'.
- CVE-2026-44363Średnie
MISP Modules to autonomiczne moduły rozszerzające MISP o nowe usługi. Przed wersją 3.0.7 istniała podatność niebezpiecznego pobierania zdalnych zasobów w modułach rozszerzeń. Moduł html_to_markdown akceptował dowolne adresy URL HTTP(S) bez wystarczającej walidacji, co mogło umożliwić Server-Side Request Forgery wobec zasobów loopback, prywatnych lub link-local. Dodatkowo moduł qrcode wyłączał weryfikację certyfikatów TLS przy pobieraniu zdalnych obrazów, narażając żądania na przechwycenie lub manipulację odpowiedzią.
Oryginalny opis (angielski, źródło NVD)
A Server-Side Request Forgery (SSRF) protection bypass existed in the html_to_markdown expansion module of misp-modules. The module attempts to prevent requests to loopback, private, link-local, and other restricted IP address ranges. However, IP addresses were compared against the blocked ranges without first normalising IPv4-mapped IPv6 addresses. An authenticated attacker able to invoke the module could supply an IPv4-mapped IPv6 address, such as: http://[::ffff:127.0.0.1]/ http://[::ffff:169.254.169.254]/ Alternatively, the attacker could use a hostname that resolves to an IPv4-mapped IPv6 address. These addresses were treated as IPv6 addresses and therefore did not match the corresponding blocked IPv4 ranges. Successful exploitation could cause the misp-modules server to connect to services available through its loopback interface, internal network, or link-local network. This could expose internal web services, administrative interfaces, or cloud instance metadata, with retrieved content potentially returned to the attacker as converted Markdown. The vulnerability has been addressed by normalising IPv4-mapped IPv6 addresses to their underlying IPv4 representation before applying the blocked-range checks. URLs without a valid hostname are now also rejected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS