CVE-2026-77761
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece misp-stix wynika z niepełnego czyszczenia stanu parsera między konwersjami dokumentów STIX. Ponowne użycie tej samej instancji parsera może spowodować, że dane z wcześniej przetworzonego dokumentu (np. galaktyki, rekordy DNS, tytuły, znaczniki czasu) zostaną dołączone do zdarzenia MISP generowanego z kolejnego dokumentu. Problem dotyczy zarówno parserów STIX 1, jak i STIX 2.
Ocena ryzyka
Ryzyko polega na zanieczyszczeniu generowanych danych wywiadowczych (threat intelligence), co może prowadzić do błędnych powiązań, mylących informacji kontekstowych lub przypisania niepowiązanych wskaźników do zdarzenia. W środowiskach o różnych poziomach dostępu może dojść do nieautoryzowanego ujawnienia informacji z wcześniej przetworzonego dokumentu.
Rekomendacja
Zaleca się unikanie ponownego użycia instancji parsera misp-stix dla niezależnych dokumentów STIX — należy tworzyć nowy parser dla każdego pliku. Jeśli ponowne użycie jest konieczne, należy upewnić się, że producent dostarczył poprawkę i zastosować ją niezwłocznie.
Inne podatności w misp-stix
Zobacz wszystkie- CVE-2026-77755Wysokie
W bibliotece misp-stix wykryto podatność na atak typu denial-of-service podczas przetwarzania dokumentów STIX 1 lub STIX 2 kontrolowanych przez atakującego. Kod importu używał sys.exit() do obsługi błędów, co powodowało nieoczekiwane zakończenie procesu, a także nie ograniczał rozmiaru przetwarzanych dokumentów, co mogło prowadzić do nadmiernego zużycia pamięci i CPU.
- CVE-2026-77710Średnie
Podatność w misp-stix pozwala atakującemu na dostarczenie spreparowanego dokumentu STIX, który podczas importu może wpłynąć na wrażliwe metadane atrybutów MISP, takie jak dystrybucja, grupy udostępniania czy tagi. Wybór parsera (wewnętrzny MISP vs zewnętrzny STIX) opierał się na niesprawdzalnych danych (etykiety narzędzi, tytuł dokumentu), co umożliwiało podszycie się pod treści pochodzące z MISP. Dodatkowo, atrybuty z obiektów x-misp-object były kopiowane bez ograniczeń, co pozwalało na wstrzyknięcie nieoczekiwanych pól.
Oryginalny opis (angielski, źródło NVD)
A parser state isolation vulnerability in misp-stix could cause data from a previously processed STIX document to be retained and incorporated into the MISP event generated from a subsequent document when the same parser instance is reused. Several STIX 1 and STIX 2 parser components maintained per-document state that was not completely cleared between conversions. In the STIX 2 parser, galaxy and galaxy-cluster information, including custom galaxy clusters, could survive a parser reset and subsequently be associated with objects from another bundle. The STIX 1 parsers were affected by the same underlying state-management issue. Depending on the parser type, retained information could include galaxies, references, passive DNS bookkeeping, package titles, dates, and timestamps. As a result, parsing a second STIX package with an already-used parser could produce a MISP event containing information that was present only in the previously processed package. For example, a generated event could inherit passive DNS records from an earlier document, reference unrelated galaxy information, combine titles from different packages, or use timestamps originating from another conversion. The issue primarily affects applications using the misp-stix API directly and reusing parser instances across independent STIX documents. Normal conversion entry points that instantiate a new parser for each file are not affected by this particular reuse scenario. An attacker able to influence documents processed by such a long-lived parser could potentially cause information from one conversion to contaminate a subsequent MISP event. This can affect the integrity of generated threat intelligence, resulting in incorrect associations, misleading contextual information, or unrelated indicators being attributed to an event. In environments where consecutive documents have different access controls or distribution scopes, the retained state could additionally result in limited disclosure of information from a previously processed document. Successful exploitation depends on the consuming application reusing the same parser instance and on the ordering of processed documents, which increases attack complexity. No direct availability impact or code execution is involved.