Podatności MISP

W instancjach MISP skonfigurowanych z wymaganym TOTP (Security.otp_required), wymuszanie konfiguracji dwuskładnikowego uwierzytelniania dotyczyło tylko standardowych żądań przeglądarki. Uwierzytelniony użytkownik, który nie zapisał się jeszcze do TOTP, mógł ominąć wymuszoną konfigurację, wysyłając żądania nieprzeglądarkowe, takie jak AJAX/XHR, API REST, URL-e .json, restSearch czy akcje automatyzacji. Ponieważ te żądania nie mogą podążać za przekierowaniem, które prowadzi do strony rejestracji TOTP, kontrola była pomijana, a użytkownik zachowywał pełny dostęp bez dokończenia konfiguracji drugiego czynnika. Poprawki (commity 8deb0619e i 6b527ba6e) rozszerzyły ochronę na wszystkie nieprzeglądarkowe żądania, z wyjątkiem uwierzytelnienia przez klucz API. Wersja dotknięta: <2.5.48.

MISP zawiera defekt w przepływie zapisu zdarzeń, który uniemożliwia silnikowi korelacji ponowne przeliczenie korelacji, gdy zmieniany jest poziom dystrybucji lub grupa udostępniania zdarzenia. Podczas edycji istniejącego zdarzenia i zmiany jego dystrybucji lub sharing_group_id, wewnętrzny hook przed zapisem przechowywał nowe dane zamiast wcześniej zapisanych wartości. W rezultacie porównanie po zapisie, które decyduje o potrzebie odświeżenia korelacji, nigdy nie wykrywało zmiany, a nieaktualne korelacje pozostawały. Wpływ na bezpieczeństwo: nieaktualne korelacje mogą nadal ujawniać dane zdarzenia użytkownikom w szerszej grupie udostępniania po przeniesieniu zdarzenia do bardziej restrykcyjnej grupy, co prowadzi do niezamierzonego ujawnienia informacji. Odwrotnie, nowo istotne korelacje mogą nie pojawić się po poszerzeniu dystrybucji, pogarszając kompletność wymiany informacji o zagrożeniach. Warunki wstępne: uwierzytelniony użytkownik z prawem zapisu do co najmniej jednego zdarzenia MISP; użytkownik modyfikuje pole dystrybucji lub sharing_group_id. Dotknięte wersje: <2.5.48

MISP przed wersją 2.5.48 ma podatność niewłaściwej walidacji danych wejściowych w funkcji importu modeli zanikających. Użytkownik z uprawnieniami perm_decaying może nadpisać istniejące modele innych organizacji, zmienić ich właściciela lub utworzyć model domyślny, wpływając na zachowanie oceniania.

MISP zawiera podatność na cross-site scripting (XSS) w stronie podglądu zdarzeń zdalnych. Gdy skonfigurowany jest połączony (zdalny) serwer MISP, podgląd zdarzenia renderuje identyfikatory tagów wewnątrz atrybutu onclick JavaScript. Wartość ID tagu była HTML-escape'owana, ale nie sanityzowana dla kontekstu stringa JavaScript, co oznacza, że złośliwy połączony serwer mógł dostarczyć ID tagu zawierające znaki (takie jak pojedynczy cudzysłów), które wyłamują się z literału stringa JavaScript i wstrzykują dowolny skrypt. Warunki: skonfigurowany i połączony zdalny serwer MISP, serwer dostarcza spreparowany ID tagu w zdarzeniu, uwierzytelniony użytkownik przegląda podgląd zdarzenia i wchodzi w interakcję z dotkniętym elementem tagu. Wpływ: wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki użytkownika, potencjalnie umożliwiające przejęcie sesji, eksfiltrację danych lub nieautoryzowane działania w imieniu użytkownika. Dotyczy wersji MISP przed commit naprawczy (v2.5.48 lub później, dokładna granica niepotwierdzona).

MISP zawiera podatność na cross-site scripting (XSS) w przeglądarce obiektów TAXII. Podczas wyświetlania zdalnego obiektu TAXII, zawartość JSON właściwości string była renderowana bezpośrednio w bloku HTML pre bez kodowania HTML. Atakujący, który może kontrolować lub wpływać na zawartość obiektu TAXII (np. publikując złośliwy obiekt na serwerze TAXII, do którego subskrybuje instancja MISP ofiary), może wstrzyknąć dowolny HTML lub JavaScript, który wykonuje się w kontekście sesji MISP ofiary. Warunki: ofiara musi być uwierzytelnionym użytkownikiem MISP z dostępem do przeglądarki obiektów TAXII oraz musi otworzyć lub wyświetlić spreparowany obiekt TAXII. Wpływ: wykonanie dowolnego JavaScriptu w przeglądarce ofiary w kontekście aplikacji MISP, potencjalna kradzież tokenów sesji, kluczy API lub innych wrażliwych danych dostępnych z interfejsu MISP oraz możliwość wykonywania działań w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.

MISP zawiera podatność na cross-site scripting (XSS) w funkcji ID Translator. Gdy użytkownik przegląda stronę ID Translator, aplikacja odpytuje połączone (zdalne) serwery MISP o odpowiadające identyfikatory zdarzeń. Identyfikator zdarzenia zwrócony przez zdalny serwer był renderowany w wyjściu HTML bez odpowiedniego kodowania wyjścia. Złośliwy lub skompromitowany połączony serwer mógł zwrócić spreparowany identyfikator zdarzenia zawierający dowolny HTML lub JavaScript. Ten markup był renderowany w przeglądarce każdego użytkownika w organizacji gospodarza, który przegląda stronę ID Translator, umożliwiając przejęcie sesji, kradzież poświadczeń lub inne ataki po stronie klienta. Warunki: ofiara musi być uwierzytelnionym użytkownikiem instancji MISP gospodarza, połączony serwer musi być skonfigurowany na instancji gospodarza, a ofiara musi nawigować do strony ID Translator dla danego zdarzenia. Dotyczy wersji <2.5.48.

MISP zawiera podatność na przechowywane cross-site scripting (XSS) w renderowaniu tabeli indeksu podglądu zdarzeń zdalnych. Szablon pola count escapował powiązany URL linku, ale renderował wartość pola bez kodowania HTML. Atakujący z możliwością tworzenia lub modyfikowania zdarzeń na połączonym (zdalnym) serwerze MISP mógł spreparować identyfikator zdarzenia zawierający HTML lub JavaScript. Gdy użytkownik na lokalnej instancji MISP przegląda indeks podglądu zdarzeń zdalnych, nieescapowana wartość jest renderowana bezpośrednio w przeglądarce, umożliwiając wykonanie dowolnego skryptu w sesji ofiary. Warunki: skonfigurowany i połączony zdalny serwer MISP, atakujący ma wystarczający dostęp na połączonym serwerze do tworzenia lub modyfikowania zdarzenia ze spreparowanym identyfikatorem, a ofiara na lokalnej instancji przegląda stronę indeksu podglądu zdarzeń zdalnych. Wpływ: wykonanie dowolnego JavaScriptu w kontekście aplikacji webowej MISP, potencjalne przejęcie sesji, eksfiltracja danych lub nieautoryzowane działania w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.

MISP przed wersją 2.5.48 zawiera niekompletną kontrolę autoryzacji w funkcji publikowania dyskusji. Uwierzytelniony użytkownik spoza grupy udostępniania lub bez widoczności powiązanego zdarzenia może czytać tytuł wątku i treść cytowanego posta oraz dodawać nowe posty do wątku, do którego nie ma uprawnień.

MISP zawiera podatność na odbity XSS w panelu notatek danych analityka. Parametr seed path, dostarczany przez użytkownika w URL, jest przekazywany bezpośrednio do JavaScript w odpowiedzi HTML bez sanitizacji. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Podatność dotyczy wersji przed poprawką (commit 58925dbf0, po v2.5.48).

MISP zawiera podatność na odbity XSS w formularzach potwierdzenia tagów taksonomii (dodawanie i wyłączanie tagów). Formularze te wyświetlały wartość tagu dostarczoną przez użytkownika bez escape'owania. Atakujący może nakłonić administratora do odwiedzenia spreparowanego URL z złośliwym tagiem, co pozwala na wykonanie dowolnego JavaScript w sesji administratora. Podatność dotyczy wersji <2.5.48.

MISP zawiera podatność polegającą na obejściu autoryzacji w funkcji spłaszczania zdarzeń. Podczas żądania zdarzenia z opcją flatten, kontrola dostępu na poziomie obiektów nie jest ponownie stosowana do atrybutów, co umożliwia nieautoryzowany dostęp do danych. Dodatkowo, początkowa poprawka wprowadziła problem z usuniętymi atrybutami, który został naprawiony w finalnej wersji.

MISP zawiera podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP), która pozwala na powtórne użycie skonsumowanego tokena HOTP (papierowego) i cofnięcie licznika tokena. Logika weryfikacji HOTP porównywała przesłany token z wartością licznika zapisaną w sesji użytkownika w momencie wprowadzenia hasła, a nie z autorytatywnym licznikiem przechowywanym w bazie danych. Ponieważ licznik zapisany w sesji nie jest aktualizowany po pomyślnym użyciu tokena, atakujący posiadający ważną sesję (hasło już wprowadzone) może ponownie użyć wcześniej spalonego tokena HOTP. Warunkiem jest, że docelowy użytkownik ma włączone uwierzytelnianie dwuskładnikowe HOTP (papierowy token), atakujący posiada ważną sesję, w której krok hasła został już ukończony (krok OTP jest oczekujący), oraz ma dostęp do co najmniej jednej wartości tokena HOTP (np. listy tokenów papierowych). Wpływ: obejście drugiego czynnika uwierzytelniania, umożliwiające nieautoryzowany dostęp do konta MISP, oraz uszkodzenie stanu licznika HOTP, potencjalnie unieważniające kolejne legalne tokeny lub umożliwiające dalsze powtórzenia. Dotyczy wersji <2.5.48.

MISP zawiera podatność na trwały skrypt XSS w obsłudze ikon galaktyk. Pole ikony obiektu galaktyki jest zapisywane bez walidacji po stronie serwera, a następnie bezpośrednio wstawiane do kodu HTML przez skrypty renderujące graf korelacji. Użytkownik z uprawnieniami perm_galaxy_editor może zapisać dowolny kod HTML lub JavaScript, który wykona się w przeglądarce innego użytkownika otwierającego graf korelacji.

MISP renderuje pole źródła klastra galaktyki jako klikalny link, jeśli wartość przechodzi walidację FILTER_VALIDATE_URL, która akceptuje schemat javascript:. Użytkownik z uprawnieniami edytora galaktyk może zapisać adres javascript: jako źródło klastra, a po kliknięciu przez inną osobę skrypt wykona się w jej przeglądarce.

MISP zawiera podatność na przechowywane Cross Site Scripting (XSS) w funkcji podglądu grafu zdarzeń. Pole obrazu podglądu grafu jest akceptowane i przechowywane bez walidacji po stronie serwera, co pozwala na wstrzyknięcie złośliwego skryptu, który wykona się w przeglądarce ofiary.

MISP zawiera podatność na eskalację uprawnień w funkcji tworzenia i edycji kolekcji tagów. Akcje te akceptowały pełny ładunek żądania HTTP i przekazywały go do operacji zapisu masowego, która zapisywała nie tylko zamierzoną kolekcję tagów, ale także wszelkie powiązane dane modeli. Użytkownik z uprawnieniami edytora tagów może spreparować żądanie zawierające dodatkowe dane modeli (takie jak rekordy Użytkownika lub Organizacji), co umożliwia modyfikację lub tworzenie uprzywilejowanych kont i eskalację do administratora witryny.

MISP zawiera podatność na masowe przypisanie w funkcji delegowania zdarzeń. Gdy użytkownik z uprawnieniami delegowania przesyła żądanie delegowania, aplikacja autoryzuje użytkownika względem zdarzenia zidentyfikowanego w URL, ale następnie zapisuje cały przesłany rekord, w tym pola dostarczone przez wywołującego, takie jak klucz główny i event_id. Uwierzytelniony atakujący może wstrzyknąć klucz główny lub event_id do ładunku delegowania, aby przekierować istniejący rekord delegowania na dowolne zdarzenie w instancji, co skutkuje nieautoryzowanym dostępem do odczytu do zdarzeń innych organizacji, a w przypadku akceptacji delegowania, przeniesieniem własności zdarzenia.

MISP rejestruje w PHP wrapper strumienia phar zarówno w punkcie wejścia web, jak i konsoli. Powoduje to, że operacje na ścieżkach zależnych od użytkownika mogą wywołać niejawne unserialize() (sink deserializacji), a przeniesiony katalog główny aplikacji może prowadzić do wykonania kodu z przesłanego pliku phar jako użytkownik web.

Literówka w konfiguracji kontroli dostępu ACLComponent w MISP spowodowała, że reguła ACL dla akcji previewEventAttributes odwołuje się do ciągu uprawnień 'theming_enabled*' (z gwiazdką na końcu) zamiast poprawnego 'theming_enabled'. Nieprawidłowy klucz nie pasuje do żadnego prawidłowego identyfikatora uprawnień, co powoduje nieprawidłowe działanie kontroli dostępu dla previewEventAttributes — może to skutkować obejściem autoryzacji lub odmową dostępu dla uprawnionych użytkowników.

W metodzie login() kontrolera UsersController w MISP zapytanie do bazy dla weryfikacji TOTP nie obejmowało kolumny User.disabled, przez co flaga wyłączonego konta nie była sprawdzana w tej gałęzi. Choć późniejsza walidacja identify() nadal odrzuca wyłączone konta, konto z TOTP może przejść do etapu weryfikacji kodu.

W MISP metoda __uploadLogo w OrganisationsController przetwarza podaną przez użytkownika ścieżkę tmp_name przed weryfikacją, czy to prawdziwy upload pliku. Uwierzytelniony administrator witryny może podać dowolną ścieżkę pliku, co pozwala na sprawdzenie istnienia plików i określenie typu obrazu na serwerze.

W MISP metoda __statisticsOrgs używa nazwy organizacji bezpośrednio jako części ścieżki pliku przy sprawdzaniu istnienia logo. Choć docelowy katalog nie istnieje, wzorzec stanowi podatność na path traversal, która mogłaby pozwolić na sprawdzenie istnienia dowolnych plików, gdyby katalog istniał.

Metoda findOrgImage w MISP buduje ścieżkę pliku z identyfikatora organizacji bez walidacji, co pozwala na path traversal. Uwierzytelniony użytkownik z możliwością tworzenia lub importowania zdarzeń może ustawić nazwę organizacji zawierającą sekwencje traversal, umożliwiając sprawdzenie istnienia dowolnych plików oraz odczyt plików z rozszerzeniami .png lub .svg.

MISP zawiera wadę autoryzacji w metodzie captureOrg modelu Organisation. Gdy parametr $force jest ustawiony na true, metoda bezwarunkowo nadpisuje pola metadanych organizacji bez weryfikacji uprawnień wywołującego użytkownika. Użytkownik z rolą edytora grupy udostępniania (SG) może wywołać tę ścieżkę kodu, co pozwala mu modyfikować metadane organizacji, które powinny być ograniczone do administratorów witryny lub użytkowników z uprawnieniami synchronizacji.

W MISP metoda EventReport::uploadPicture przetwarza dostarczone przez wywołującego pole tmp_name, wywołując na nim file_exists(), mime_content_type() i exif_imagetype() przed weryfikacją, czy wartość jest prawdziwym uploadem PHP przez is_uploaded_file(). Uwierzytelniony użytkownik z uprawnieniem perm_add może podać dowolną ścieżkę systemu plików jako tmp_name, a aplikacja bada tę ścieżkę i zwraca różne komunikaty błędów w zależności od istnienia pliku, typu MIME lub formatu obrazu. Obserwując różne odpowiedzi, atakujący może enumerować istnienie plików na serwerze MISP i określić ich typ.

MISP zawiera wadę kontroli dostępu w funkcjonalności EventReports. Akcja replaceSuggestionInReport, która umożliwia modyfikację treści sugestii w raporcie zdarzenia, została błędnie przypisana do dzikiej karty ('*') w ACLComponent, co czyni ją dostępną dla każdego uwierzytelnionego użytkownika niezależnie od przypisanych uprawnień. Wszystkie analogiczne akcje modyfikacji raportów wymagały uprawnienia perm_add, podczas gdy akcje tylko do odczytu, takie jak downloadAsPDF, używały dzikiej karty.

W MISP widok zdarzenia Overmind wzbogaca zdarzenie o jego najnowszy dołączony raport w celach podglądu. Logika wzbogacania pobierała raport używając tylko ID zdarzenia jako warunku wyszukiwania, bez uwzględniania własnych ograniczeń dystrybucji/ACL raportu. Ponieważ raporty MISP mają niezależne ustawienie dystrybucji, które może być bardziej restrykcyjne niż dystrybucja zdarzenia nadrzędnego, uwierzytelniony użytkownik z dostępem do odczytu zdarzenia mógł pobrać i wyświetlić raport, którego dystrybucja wykluczała tego użytkownika. Dodatkowo zapytanie nie filtrowało miękkich usunięć, umożliwiając pobranie raportów administracyjnie usuniętych.

MISP zawiera podatność na trwały cross-site scripting (XSS) w ekranie tworzenia e-maili administratora. Nazwa organizacji MISP.org jest interpolowana bezpośrednio do literału ciągu JavaScript bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript. Wstrzyknięty skrypt wykonuje się w kontekście każdego uwierzytelnionego użytkownika, który załaduje stronę, co może prowadzić do przejęcia sesji, kradzieży danych lub wykonywania uprzywilejowanych działań.

Komponent RequestHandlerComponent w MISP automatycznie dekoduje ciała żądań XML dla wszystkich żądań zapisu. Ze względu na błąd logiczny w warunku readFile w bibliotece Xml::build(), żądanie z adresem HTTPS może zostać pobrane jako zasób przez serwer. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie POST do punktu cspReport, aby spowodować wychodzące żądanie HTTPS do dowolnego celu osiągalnego przez serwer, co umożliwia skanowanie wewnętrznych usług lub ataki na wewnętrzne punkty końcowe.

W MISP metoda queryEnrichment w EventsController.php akceptuje nazwę modułu i iteruje po liście włączonych modułów. Jeśli moduł nie znajduje się na liście, kod kontynuuje z domyślnymi parametrami zamiast odrzucić żądanie. Umożliwia to uwierzytelnionemu użytkownikowi wywołanie wzbogacania lub analizy przez moduł, który nie był włączony, co omija kontrolę dostępności modułów.

W MISP metoda add() w CollectionsController egzekwuje autoryzację grupy udostępniania tylko dla metody POST, ale CRUDComponent::add() zapisuje dane również dla PUT. Uwierzytelniony użytkownik może wysłać żądanie PUT do endpoints collections/add, aby utworzyć kolekcję z distribution=4 (współdzielenie z konkretną grupą), do której nie ma uprawnień. To omija kontrolę dostępu.

Skrypty instalacyjne MISP dla systemów Debian 12, Debian 13, Ubuntu 24.04 i RHEL 9.4 tworzą plik dziennika /var/log/misp_install.log oraz nazwany potok (FIFO) /var/log/misp_install.log.pipe, które przechowują poufne dane, takie jak hasła administratora, bazy danych, GPG i nadzorcy. Pliki są tworzone z domyślną maską umask, co skutkuje uprawnieniami czytania dla wszystkich użytkowników (0644). Dodatkowo, przed utworzeniem pliku nie sprawdzano, czy nie istnieje dowiązanie symboliczne, co pozwala na przekierowanie zapisu do dowolnej lokalizacji. Podatność dotyczy wersji <2.5.47.

MISP zawiera podatność typu reflected XSS w formularzu potwierdzenia eksportu wyszukiwania REST zdarzeń. Szablon widoku app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp umieszcza listę identyfikatorów zdarzeń z URL w literale JavaScript ograniczonym pojedynczymi cudzysłowami, używając json_encode() bez flag kodowania szesnastkowego, co pozwala na wstrzyknięcie znaku pojedynczego cudzysłowu i wykonanie dowolnego kodu JavaScript. Podatność dotyczy motywów Default i UiBeta; motyw Overmind nie jest nią objęty.

MISP zawiera odzwierciedlone XSS w widoku histogramu atrybutów. Zmienna $selectedTypes, pochodząca z segmentu ścieżki URL, jest interpolowana bezpośrednio do literału tablicy JavaScript wewnątrz atrybutu onClick HTML bez kodowania. Atakujący, który zmusi uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, może wykonać dowolny JavaScript w przeglądarce ofiary w kontekście aplikacji MISP. Wersja dotknięta: <2.5.47.

MISP zawiera odzwierciedlone XSS w akcji AnalystDataController::viewForObject. Metoda przyjmuje parametr typu obiektu nadrzędnego z URL bez walidacji i przekazuje go do elementu widoku wątku AnalystData w motywie Overmind, gdzie jest interpolowany do dwóch przetłumaczonych stringów i renderowany do odpowiedzi HTML bez kodowania wyjścia. Uwierzytelniony atakujący może nakłonić ofiarę do odwiedzenia spreparowanego URL, co pozwala na wstrzyknięcie dowolnego JavaScript w przeglądarce ofiary w kontekście MISP. Wersja dotknięta: <2.5.47.

Kontroler WorkflowsController w MISP udostępnia akcję moduleStatelessExecution na liście unlockedActions w komponencie Security. W CakePHP umieszczenie akcji na tej liście wyłącza zarówno sprawdzanie tokenu CSRF, jak i walidację skrótu pól. Ponieważ moduleStatelessExecution wykonuje metodę exec() modułu przepływu pracy z danymi i parametrami dostarczonymi przez wywołującego, brak ochrony CSRF pozwala atakującemu na sfałszowanie żądania z innego pochodzenia, które po wysłaniu przez uwierzytelnionego administratora wywoła akcję na instancji MISP. Atakujący może wybrać dowolny moduł, w tym moduły zapisu wpisów blokowanych, i dostarczyć własne dane. Podatność została wykryta podczas wewnętrznego przeglądu. Poprawka jest zawarta w MISP v2.5.47.

MISP ma lukę bezpieczeństwa pozwalającą atakującemu zmienić dane threat intelligence przez przeglądarkę zalogowanego użytkownika bez jego wiedzy. Funkcja nie egzekwowała należycie ochrony przed sfałszowanymi żądaniami, więc atakujący mógł stworzyć złośliwą stronę wysyłającą żądanie do MISP. Wersje podatne: <2.5.47.

MISP ma lukę w obsłudze plików pozwalającą niektórym uwierzytelnionym użytkownikom zmusić serwer do odczytu plików lub dostępu do wewnętrznych usług sieciowych. Podczas importu pliku XML MISP nie weryfikował należycie, czy przesłana zawartość to XML, więc użytkownik z uprawnieniami modyfikacji mógł przesłać plik zawierający lokalną ścieżkę lub adres URL. Wersje podatne: <2.5.47.

W MISP podczas dodawania referencji między obiektami lub atrybutami system sprawdza dostęp użytkownika do całego zdarzenia, ale nie zawsze weryfikuje, czy poszczególne elementy danych są również dozwolone dla tego użytkownika. Użytkownik mogący przeglądać zdarzenie może uzyskać dostęp do atrybutów lub obiektów wewnątrz tego zdarzenia, które powinny być ograniczone do określonej grupy udostępniania lub poziomu dystrybucji.

W MISP podczas tworzenia lub edycji raportu w zdarzeniu system identyfikuje istniejący raport po UUID bez sprawdzenia, czy raport rzeczywiście należy do tego samego zdarzenia. Użytkownik z prawem edycji jednego zdarzenia może przenieść raport z innego zdarzenia do swojego, jeśli zna lub zgadnie UUID raportu, a następnie przeglądać i zmieniać informacje, do których nie powinien mieć dostępu.

Moduł workflow blocklist w MISP przyjmował parametr nazwy pliku blocklisty od użytkownika bez walidacji rozszerzenia. Jedyne zastosowane oczyszczenie to basename() usuwające komponenty ścieżki oraz sprawdzenie pustych lub kropkowych wartości. Administrator witryny mógł podać nazwę pliku z dowolnym rozszerzeniem, który trafiał do katalogu eksportu MISP. Wersje podatne: <2.5.47.

MISP ma lukę bezpieczeństwa pozwalającą użytkownikowi uzyskać większy dostęp niż powinien pozwalać jego klucz API. Klucz API tylko do odczytu powinien umożliwiać jedynie przeglądanie informacji, jednak po zalogowaniu się takim kluczem konkretna funkcja MISP mogła przypadkowo przywrócić normalne uprawnienia konta użytkownika. Wersje podatne: <2.5.47.

Funkcja login() w pliku UsersController.php MISP zawierała niewystarczającą walidację metod HTTP dla kilku krytycznych ścieżek kodu. Oryginalny kod używał podejścia allowlisty, sprawdzając tylko konkretne metody HTTP (POST i PUT) przed egzekwowaniem ochrony przed bruteforce, weryfikacji jednorazowego hasła e-mail (OTP) i logowania nieudanych prób logowania. Ponieważ sprawdzenia nie były wyczerpujące, nieuwierzytelniony atakujący mógł wysyłać żądania logowania innymi metodami HTTP i jednocześnie ominąć wszystkie trzy mechanizmy bezpieczeństwa.

MISP zawiera lukę niebezpiecznego odwołania do obiektu (IDOR) w metodzie processModuleResultsData modelu Event. Podczas przetwarzania wyników modułu kod iteruje po wpisach EventReport dostarczonych w rozwiązanych danych i zapisuje każdy z nich. W przeciwieństwie do sąsiednich pętli przetwarzania atrybutów i obiektów, pętla raportów nie usuwała pola 'id' dostarczonego przez klienta przed wywołaniem save(). Wersje podatne: <2.5.47.

MISP zawiera podatność typu DOM-based cross-site scripting (XSS) w komponencie JavaScript menu kontekstowego. Klasa ContextualMenu wypełnia elementy HTML <option>, przypisując kontrolowane przez użytkownika wartości do właściwości innerHTML. Ponieważ innerHTML parsuje i renderuje znaczniki HTML, każdy niezaufany ciąg znaków podany jako tekst opcji (value.text lub value) jest interpretowany jako aktywna zawartość DOM, a nie zwykły tekst.

MISP w domyślnym motywie zawiera podatność typu stored XSS na stronie indeksu Galaxies. Nazwy przykładowych tagów pochodzące z nieznanych klastrów galaktyk są wstawiane do HTML bez kodowania encji, co pozwala użytkownikowi z uprawnieniami edycji tagów wstrzyknąć złośliwy skrypt. Administrator odwiedzający stronę Galaxies uruchamia ten skrypt w swojej sesji przeglądarki.

W MISP widok statystyk macierzy galaktyki (app/View/Users/statistics_galaxymatrix.ctp) renderuje nazwę galaktyki bezpośrednio do HTML przez sprintf() bez kodowania HTML. Uwierzytelniony użytkownik z uprawnieniem perm_galaxy_editor może utworzyć lub zmodyfikować galaktykę, której nazwa zawiera dowolny znacznik HTML lub JavaScript, co prowadzi do wykonania skryptu w przeglądarce każdego użytkownika otwierającego tę stronę.

MISP w wersji ≤2.5.45 zawiera podatność na wstrzyknięcie HTML w komponencie MISPElementHTMLFormatterTool, który renderuje odwołania do elementów MISP (atrybutów, obiektów i tagów) do HTML podczas eksportu raportu do PDF. Pola kontrolowane przez użytkownika (typ i wartość atrybutu, nazwa i relacja obiektu, nazwa tagu oraz kolory tagu) są wstawiane do szablonów HTML bez kodowania encji HTML. Dodatkowo metoda attribute() zawiera zaszyte na stałe przykładowe wartości ("domain-ip" i "google.com") zamiast znaczników formatu, przez co każdy zwykły atrybut w PDF wyświetla tekst przykładowy zamiast rzeczywistej wartości wskaźnika.

W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).

W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.