CVE-2018-19908
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
W MISP w wersjach 2.4.9x przed 2.4.99 odkryto problem związany z nieodpowiednim przetwarzaniem nazw plików w kodzie importu STIX 1. Nieodfiltrowany ciąg nazwy pliku jest używany do konstruowania polecenia powłoki, co pozwala na wykonanie dowolnych poleceń przez złośliwego, uwierzytelnionego użytkownika.
Ocena ryzyka
Organizacja może być narażona na wykonanie nieautoryzowanych poleceń w systemie przez złośliwych użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację MISP do wersji 2.4.99 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających w celu ograniczenia dostępu do funkcji importu.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in MISP 2.4.9x before 2.4.99. In app/Model/Event.php (the STIX 1 import code), an unescaped filename string is used to construct a shell command. This vulnerability can be abused by a malicious authenticated user to execute arbitrary commands by tweaking the original filename of the STIX import.