CVE-2026-77755
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W bibliotece misp-stix wykryto podatność na atak typu denial-of-service podczas przetwarzania dokumentów STIX 1 lub STIX 2 kontrolowanych przez atakującego. Kod importu używał sys.exit() do obsługi błędów, co powodowało nieoczekiwane zakończenie procesu, a także nie ograniczał rozmiaru przetwarzanych dokumentów, co mogło prowadzić do nadmiernego zużycia pamięci i CPU.
Ocena ryzyka
Atakujący może przerwać działanie długotrwałego procesu importującego, spowodować nadmierne zużycie zasobów (pamięć, CPU) oraz doprowadzić do degradacji lub czasowej niedostępności usług korzystających z konwertera, a także zakłócić wsadowe lub automatyczne procesy importu STIX.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie biblioteki misp-stix do wersji zawierającej poprawki, które zastępują sys.exit() wyjątkami możliwymi do przechwycenia oraz wprowadzają limit rozmiaru wejściowego (domyślnie 100 MB). Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji importu STIX tylko dla zaufanych źródeł.
Inne podatności w misp-stix
Zobacz wszystkie- CVE-2026-77761Średnie
Podatność w bibliotece misp-stix wynika z niepełnego czyszczenia stanu parsera między konwersjami dokumentów STIX. Ponowne użycie tej samej instancji parsera może spowodować, że dane z wcześniej przetworzonego dokumentu (np. galaktyki, rekordy DNS, tytuły, znaczniki czasu) zostaną dołączone do zdarzenia MISP generowanego z kolejnego dokumentu. Problem dotyczy zarówno parserów STIX 1, jak i STIX 2.
- CVE-2026-77710Średnie
Podatność w misp-stix pozwala atakującemu na dostarczenie spreparowanego dokumentu STIX, który podczas importu może wpłynąć na wrażliwe metadane atrybutów MISP, takie jak dystrybucja, grupy udostępniania czy tagi. Wybór parsera (wewnętrzny MISP vs zewnętrzny STIX) opierał się na niesprawdzalnych danych (etykiety narzędzi, tytuł dokumentu), co umożliwiało podszycie się pod treści pochodzące z MISP. Dodatkowo, atrybuty z obiektów x-misp-object były kopiowane bez ograniczeń, co pozwalało na wstrzyknięcie nieoczekiwanych pól.
Oryginalny opis (angielski, źródło NVD)
A denial-of-service vulnerability was identified in misp-stix when processing attacker-controlled STIX 1 or STIX 2 documents. The STIX import code used sys.exit() to handle several parsing and loading failures. Because SystemExit inherits from BaseException rather than Exception, these failures bypassed the exception handlers used by callers of the library. As a result, a malformed STIX document could terminate a long-running importer process instead of returning a recoverable parsing error. Additionally, no limit was imposed on the size of STIX documents before parsing. A submitted document was therefore read and materialised in memory before its validity or type was evaluated. Depending on the document and parsing path, processing could consume approximately two to seven times the input size in memory, allowing a sufficiently large STIX document to cause excessive memory and CPU consumption and potentially terminate or severely degrade the importing service. An attacker able to provide STIX content to a MISP-STIX import workflow could exploit either condition to affect availability. A malformed document could cause abnormal process termination through an uncaught SystemExit, while a large document could exhaust resources during deserialisation and conversion. The fixes replace process-terminating sys.exit() calls with catchable exceptions such as STIXLoadingError and MissingSTIXContentError, and extend exception handling around the complete STIX detection and conversion process. The importer also now enforces an input-size limit before parsing. The default maximum is 100 MB, can be adjusted by callers, and can explicitly be disabled when required. STIX 1 inputs are additionally checked for the expected root element before the complete XML tree is constructed. ImpactSuccessful exploitation can cause: * termination of a long-running MISP-STIX importer; * excessive memory allocation; * excessive CPU consumption; * degradation or temporary unavailability of services relying on the converter; * interruption of batch or automated STIX ingestion workflows.