Podatności MISP Modules

W wersjach 3.0.7 i wcześniejszych występuje podatność Cross-Site Request Forgery (CSRF) w MISP Modules, która pozwala atakującemu na zmuszenie uwierzytelnionego użytkownika do wysyłania niezamierzonych żądań do punktu końcowego. Problem wynikał z wyłączenia ochrony CSRF dla blueprintu home.

Moduł rozszerzenia html_to_markdown w MISP Modules zawiera podatność typu server-side request forgery (SSRF) w funkcji walidacji URL is_safe_url(). Lista BLOCKED_RANGES była niekompletna i nie obejmowała zakresów 0.0.0.0/8, 100.64.0.0/10, ::/128, fc00::/7 oraz fe80::/10, a także form IPv4-mapped IPv6, co pozwala uwierzytelnionemu użytkownikowi na kierowanie żądań do wewnętrznych adresów z kontekstu sieciowego serwera MISP.

Moduł cisco_firesight_manager_ACL_rule_export w misp-modules generuje skrypt powłoki (.sh), który uwierzytelnia się i wywołuje API Cisco fireSIGHT Manager. Moduł wstawia wartości konfiguracyjne (adres IP, login, hasło, ID domeny, ID polityki) oraz wartości atrybutów MISP (docelowe adresy IP, URL-e, komentarze) bezpośrednio do ciągów znaków w pojedynczych cudzysłowach bez ucieczki, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń powłoki. Analityk bezpieczeństwa, który uruchomi wygenerowany skrypt, wykona wstrzyknięte polecenia z własnymi uprawnieniami, co może narazić poświadczenia fireSIGHT Manager, zmodyfikować reguły ACL lub zainfekować stację roboczą. Dodatkowo moduł ma wadę, w której zmienna 'config' jest przypisywana tylko w bloku warunkowym, ale używana bezwarunkowo, co powoduje NameError (denial of service), gdy żądanie nie zawiera klucza 'config'.

W module rozszerzenia html_to_markdown w misp-modules wykryto obejście ochrony przed SSRF. Adresy IPv4 odwzorowane w IPv6 nie były normalizowane przed sprawdzeniem zakresów zablokowanych, co umożliwiało atak na interfejs pętli zwrotnej, sieć wewnętrzną lub łącza lokalnego.

MISP Modules to autonomiczne moduły rozszerzające MISP o nowe usługi. Przed wersją 3.0.7 istniała podatność niebezpiecznego pobierania zdalnych zasobów w modułach rozszerzeń. Moduł html_to_markdown akceptował dowolne adresy URL HTTP(S) bez wystarczającej walidacji, co mogło umożliwić Server-Side Request Forgery wobec zasobów loopback, prywatnych lub link-local. Dodatkowo moduł qrcode wyłączał weryfikację certyfikatów TLS przy pobieraniu zdalnych obrazów, narażając żądania na przechwycenie lub manipulację odpowiedzią.