CVE-2021-25323

Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.

MISP zawiera podatność na fiksację sesji w przepływie uwierzytelniania CustomAuth. Po pomyślnym uwierzytelnieniu przez CustomAuth, MISP przechowuje tożsamość uwierzytelnionego użytkownika w istniejącej sesji bez wcześniejszej rotacji identyfikatora sesji. Atakujący, który zna identyfikator sesji ofiary przed uwierzytelnieniem, może go później wykorzystać do uzyskania dostępu do uwierzytelnionej sesji ofiary.

Podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP) opartym na e-mailu w MISP pozwalała atakującemu na nieograniczoną liczbę prób weryfikacji OTP. Endpoint email_otp() nie stosował ochrony przed brute-force, co umożliwiało wielokrotne zgadywanie OTP i potencjalne ominięcie dodatkowego czynnika uwierzytelniania.

MISP zawiera odbitą podatność Cross-Site Scripting (XSS) w konstruktorze zapytań filtrowania atrybutów zdarzeń. Parametry URL taggedAttributes i galaxyAttachedAttributes były wstawiane do reguł konstruktora zapytań bez escapowania HTML przed serializacją do JSON i osadzeniem wewnątrz elementu <script>.

MISP zawiera wadę autoryzacji w silniku korelacji OnDemand, gdzie korelacje były obliczane wyłącznie na podstawie pasujących wartości atrybutów bez uwzględniania ograniczeń dystrybucji, grupy udostępniania, organizacji lub innych ograniczeń kontroli dostępu związanych z korelowanymi atrybutami i zdarzeniami. W rezultacie uwierzytelniony użytkownik mógł otrzymać wyniki korelacji odnoszące się do atrybutów lub zdarzeń, do których nie był upoważniony.

W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).

W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.

Dotknięte wersje MISP zawierają niewystarczającą walidację wychodzących połączeń HTTP po stronie serwera w funkcjach pobierania feedów i odkrywania TAXII. W przetwarzaniu feedów przekierowania były śledzone bez walidacji schematu lub celu, a oryginalne nagłówki żądań były ponownie używane, co mogło prowadzić do przekazania nagłówków autoryzacyjnych lub poświadczeń API do innego hosta. Przekierowania mogły również celować w wewnętrzne zasoby sieciowe, powodując SSRF. Poprawka dodaje walidację przekierowań, blokuje wewnętrzne cele dla przekierowań między hostami, usuwa poświadczenia feedu przed przekierowaniem do innego hosta i przypina zweryfikowane wyniki DNS. Endpoint TAXII discovery miał podobną niekompletną obronę przed SSRF, używając gethostbyname() i porównując wynik tylko z kilkoma dosłownymi adresami, co pomijało przypadki takie jak IPv6 loopback (::1), numeryczne kodowania hostów jak 0x7f000001 i wiele rekordów DNS. Poprawka przenosi TAXII discovery do wspólnego walidatora egress URL.

MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.

MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.