Podatności OpenCTI

W OpenCTI, w wersjach od 6.6.0 do 6.9.12, występuje podatność na eskalację uprawnień, która może być wykorzystana przez nieautoryzowanych atakujących do zapytań do API jako dowolny istniejący użytkownik, w tym domyślne konto administratora.

OpenCTI przed wersją 7.260706.0 zawiera podatność w funkcji extractWithRegexp w mapperze JSON, która kompiluje wyrażenia regularne dostarczone przez użytkownika bez walidacji ich złożoności. Uwierzytelniony użytkownik z uprawnieniami do tworzenia mapperów JSON może dostarczyć wzorzec powodujący katastrofalne cofanie się, blokując pętlę zdarzeń Node.js i czyniąc API GraphQL niedostępnym dla wszystkich użytkowników. Zaplanowane przetwarzanie może wielokrotnie uruchamiać złośliwy mapper bez dodatkowego działania atakującego.

OpenCTI przed wersją 7.260701.0 zawiera podatność w zapytaniu GraphQL synchronizerFetch, które wywołuje fetchRemoteStreams po sprawdzeniu tylko, czy adres URL zdalnego strumienia używa HTTP lub HTTPS. Backend nie stosuje listy blokad dla przychodzących danych ani nie odrzuca adresów prywatnych, pętli zwrotnej i link-local, co pozwala uwierzytelnionemu kontu z uprawnieniem INGESTION na zmuszenie OpenCTI do żądania usług wewnętrznych i punktów końcowych metadanych chmury. Błędy połączenia mogą umożliwić skanowanie sieci wewnętrznej, a odpowiedzi z kompatybilnych punktów mogą ujawnić wewnętrzne dane.

OpenCTI GraphQL API udostępnia operator filtru skryptów w wyliczeniu FilterOperator, który pozwala uwierzytelnionym użytkownikom z uprawnieniem KNOWLEDGE na przekazywanie niesprawdzonych skryptów Elasticsearch Painless do zapytań wyszukiwania. Może to prowadzić do przeciążenia zasobów CPU klastra i odmowy usługi dla wszystkich użytkowników.

W OpenCTI przed wersją 7.260326.0 wykryto podatność polegającą na obejściu autoryzacji. Uwierzytelniony użytkownik z uprawnieniem KNOWLEDGE_KNUPDATE może ominąć walidację poziomu zaufania i ograniczenia dotyczące oznaczeń obiektów, wstrzykując nagłówek HTTP synchronized-upsert: true. Pozwala to na obniżenie poziomów zaufania, usunięcie oznaczeń bezpieczeństwa (np. TLP:RED) oraz manipulację relacjami i obiektami STIX.

OpenCTI w wersjach przed 7.260227.0 jest podatny na XSS podczas renderowania danych treści wiadomości e-mail w obserwowalnym typie. Zawartość pola body nie jest odpowiednio sanityzowana podczas renderowania. Wymaga interakcji użytkownika, ale może być wykorzystana przez osobę udostępniającą STIX lub dowolnego ingestera.

OpenCTI to platforma open source do zarządzania wiedzą o zagrożeniach cybernetycznych i obserwacjach. Przed wersją 6.9.7, administrator organizacji może eskalować swoje uprawnienia, dodając użytkownika z innej organizacji o wyższych uprawnieniach do własnej organizacji. Wynika to z nieprawidłowej kontroli ACL na userEdit relationAdd. Podatność naprawiona w wersji 6.9.7.

OpenCTI to platforma open source do zarządzania wiedzą o cyberzagrożeniach. Przed wersją 6.8.3 istnieje podatność otwartego przekierowania w punkcie uwierzytelniania SAML (/auth/saml/callback). Manipulując parametrem RelayState, atakujący może wymusić przekierowanie 302 na dowolny zewnętrzny URL, co umożliwia phishing, kradzież poświadczeń i przekierowanie na złośliwe strony. Problem naprawiono w wersji 6.8.3.

OpenCTI przed wersją 6.8.1 zawiera podatność w mutacji GraphQL WorkspacePopoverDeletionMutation, która pozwala na usunięcie obiektów workspace (np. dashboardów, przypadków dochodzeń) bez odpowiedniej autoryzacji. Atakujący może podać UUID innego użytkownika i usunąć cały jego workspace, ponieważ API nie weryfikuje własności zasobu.