Podatności MISP

W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).

W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.

MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.

W systemie MISP występuje luka umożliwiająca ominięcie uwierzytelniania, gdy włączone jest mieszane uwierzytelnianie LDAP z wymuszonym OTP. Uwierzytelniony użytkownik może ominąć krok OTP i uzyskać dostęp do aplikacji bez podania kodu TOTP, HOTP lub e-mail OTP.

W MISP przed wersją 2.4.187 funkcja add_misp_export w pliku app/Controller/EventsController.php nie sprawdza poprawnie, czy przesłany plik jest ważny.

W MISP przed wersją 2.4.184 odkryto problem związany z niebezpiecznym przesyłaniem logo organizacji, spowodowanym brakiem weryfikacji rozszerzenia pliku i typu MIME.

W pliku app/Controller/AuditLogsController.php w MISP przed wersją 2.4.182 niewłaściwie zarządzane są listy kontroli dostępu (ACL) dla logów audytowych.

W MISP przed wersją 2.4.176 występuje problem związany z niewłaściwym przetwarzaniem parametrów w pliku app/Controller/AppController.php.

W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.

MISP w wersji 2.4.148, w określonych konfiguracjach, umożliwia atak typu SQL injection poprzez wartość $conditions['org'] w pliku app/Model/Log.php.

W MISP w wersji 2.4.144 w pliku app/View/Elements/genericElements/IndexTable/Fields/generic_field.ctp nie oczyszczono niektórych danych związanych z generic-template:index.

Domyślne ustawienie MISP 2.4.136 nie wymagało podania poprzedniego hasła podczas zmiany hasła, co może prowadzić do nieautoryzowanych zmian.

W MISP w wersji 2.4.128 zidentyfikowano problem związany z niewystarczającymi kontrolami ACL w downloaderze załączników w pliku app/Controller/AttributesController.php.

W MISP 2.4.92 odkryto problem w pliku app/Controller/UsersController.php, który pozwala na ominięcie ochrony przed atakami typu brute-force. Atakujący może to zrobić, używając metody HTTP PUT zamiast POST w części logowania, ponieważ ochrona dotyczyła tylko żądań POST.

Podatność typu path traversal w MISP podczas importu STIX 2 i eksportu MISP-do-STIX 2. Nazwy obiektów MISP nie były wystarczająco walidowane przed użyciem w ścieżce plików do rozwiązywania szablonów, co pozwalało na wyjście poza katalog szablonów i wczytanie pliku definition.json z innej lokalizacji. Atakujący mógł dostarczyć złośliwą nazwę obiektu (np. zawierającą ../) przez niestandardowy obiekt STIX lub trwałe zdarzenie MISP.

Walidator adresów URL webhooków w `website/notifications/webhooks.py` używa `ip.is_global` do odrzucania adresów niepublicznych po rozwiązywaniu DNS. Adresy przejściowe IPv6 (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) są klasyfikowane przez IANA jako globalnie rutowalne, więc `is_global` zwraca `True`, nawet gdy osadzony cel IPv4 jest prywatny, pętla zwrotna lub metadane chmury. Atakujący może zarejestrować webhook wskazujący na nazwę hosta, która rozwiązuje się na adres przejściowy, aby ominąć zabezpieczenie SSRF i eksfiltrować dane o podatnościach do wewnętrznego punktu końcowego. Podatność została wprowadzona w wersji niebędącej wydaniem. Poprawka została już naniesiona na HEAD. Dotyczy tylko organizacji uruchamiających HEAD.

W konfiguracji Apache HTTP dla MISP wykryto błędny przekierunek HTTP na HTTPS, który nie zawierał końcowego ukośnika w docelowym adresie URL. Atakujący może wykorzystać tę lukę do przekierowania użytkownika na złośliwą stronę poprzez odpowiednio spreparowane żądanie HTTP.

W MISP funkcja importModule() używała getEnabledModule() do rozpoznawania modułów importu, ale nie egzekwowała ograniczeń organizacyjnych. Uwierzytelniony użytkownik z organizacji, której nie zezwolono na korzystanie z modułu, mógł go wywołać bezpośrednio, znając jego nazwę.

Podatność w MISP pozwalała uwierzytelnionym użytkownikom lub kluczom API tylko do odczytu, mającym dostęp do przeglądania zdarzeń, na zapisywanie danych do zdarzeń, których nie mieli prawa modyfikować. Problem występował w metodzie EventsController::importModule() podczas przetwarzania wyników w formacie misp_standard, gdzie nie sprawdzano uprawnień do modyfikacji przed zapisem.

MISP pozwalał uwierzytelnionemu administratorowi na ustawienie konfiguracji Kafka_rdkafka_config na dowolną ścieżkę w systemie plików, co mogło prowadzić do wykonania dowolnego kodu z uprawnieniami procesu MISP.

MISP umożliwia administratorowi serwisu skonfigurowanie dowolnej ścieżki systemu plików dla logu błędów NDJSON używanego przez JsonLogTool. Z powodu możliwości wstrzyknięcia kodu PHP przez atakującego, który ma uprawnienia administratora, może dojść do zdalnego wykonania kodu.

W MISP występuje luka autoryzacyjna w obsłudze dodawania/edycji obiektów, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edycji obiektów przypisać obiekt lub atrybuty do grupy udostępniania, do której nie ma uprawnień. Walidacja grupy udostępniania była wykonywana na niewłaściwej strukturze danych, co omijało sprawdzenie.

MISP zawiera podatność na refleksyjny atak typu cross-site scripting w widoku indeksu zdarzeń UiBeta. Wartość urlparams jest wstawiana do wewnętrznego handlera JavaScript, co pozwala atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

MISP zawiera podatność na przejście ścieżki w metodzie OrganisationsController::getOrgLogo. Kod podatny buduje ścieżki do plików logo organizacji, wykorzystując pola kontrolowane przez organizację, co pozwala atakującemu na dostęp do plików spoza zamierzonego katalogu.

MISP zawiera niebezpieczną domyślną konfigurację, w której kontrola Security.check_sec_fetch_site_header jest wyłączona. To umożliwia atakującym zdalnym, nieautoryzowanym użytkownikom wysyłanie złośliwych żądań do punktów końcowych automatyzacji MISP w imieniu uwierzytelnionych użytkowników.

W MISP występuje podatność związana z nieprawidłową autoryzacją, która pozwala administratorowi organizacji na celowanie w konta administratorów serwisu w tej samej organizacji za pomocą funkcji e-mailowej. Kod ograniczał administratorów organizacji do użytkowników w ich własnej organizacji, ale nie wykluczał kont z rolą administratora serwisu z zapytań do odbiorców.

W MISP wystąpiła podatność związana z niewłaściwą autoryzacją, która pozwalała administratorowi organizacji na dostęp do ustawień użytkowników kont administratorów witryny w tej samej organizacji. Kontrola dostępu nie wykluczała użytkowników z wyższymi uprawnieniami, co umożliwiało modyfikację ustawień konta administratora witryny.

Podatność w widżetach dashboardu MISP pozwalała uwierzytelnionemu użytkownikowi manipulować opcją 'fields' i wpływać na zwracane pola przez widżety 'New Users' i 'New Organisations'. W niektórych przypadkach żądanie pustego zestawu pól mogło spowodować zwrócenie niezamierzonych pól modelu, w tym adresów e-mail użytkowników, nawet jeśli ich ujawnianie było wyłączone.

W endpointzie over-correlations w MISP parametr order był akceptowany z żądania użytkownika, co pozwalało uwierzytelnionemu atakującemu nadpisać porządek sortowania po stronie serwera. Może to prowadzić do manipulacji zapytaniami do bazy danych.

Błąd logiczny w komponencie CRUD MISP w obsłudze usuwania pozwalał na ominięcie walidacji, gdy żądanie używało metody HTTP DELETE. Z powodu brakujących nawiasów w warunku usuwania, wyrażenie było oceniane jako ($validationError === null && POST) || DELETE, co oznacza, że żądanie DELETE mogło być wykonane nawet gdy callback walidacji odrzucił operację. Uwierzytelniony atakujący z dostępem do odpowiedniego punktu końcowego mógł nadużyć tej wady do usunięcia rekordów chronionych przez walidację na poziomie aplikacji lub autoryzację.

Podatność na otwarte przekierowanie w MISP w funkcji UsersController::routeafterlogin() wynika z używania wartości przechowywanej w kluczu sesji pre_login_requested_url jako celu przekierowania po zalogowaniu, bez wystarczającego sprawdzenia, czy jest to lokalna ścieżka aplikacji. Nieuwierzytelniony zdalny atakujący może spreparować link, który po zalogowaniu ofiary do zaufanej instancji MISP przekieruje ją na zewnętrzną, kontrolowaną przez atakującego stronę. Łatka naprawia problem poprzez dekodowanie i parsowanie URL, odrzucając URL-e z schematem, hostem, komponentem użytkownika, brakującą lub nie-lokalną ścieżką oraz formy protokołowo-względne, takie jak //example.com i /\example.com.

Wada walidacji URL w widżecie przycisku pulpitu MISP umożliwiała akceptację spreparowanego względnego URL-a jako lokalnej ścieżki, podczas gdy przeglądarki interpretowały go jako zewnętrzny URL. Atakujący mógł skonfigurować przycisk pulpitu, który wydaje się wskazywać wewnątrz aplikacji, ale przekierowuje użytkowników na kontrolowaną przez atakującego stronę.

Wada autoryzacji w przepływie nadpisywania importera szablonów zdarzeń MISP. Podczas importowania szablonu w trybie nadpisywania aplikacja sprawdzała, czy pasujący szablon już istnieje, ale nie weryfikowała, czy importujący użytkownik należy do organizacji będącej właścicielem istniejącego szablonu. Uwierzytelniony użytkownik mógł nadpisać szablon zdarzeń należący do innej organizacji.

Problem z kontrolą widoczności w procesie tworzenia szablonów zdarzeń w MISP umożliwiał użytkownikom niebędącym administratorami witryny dostęp do prywatnych galerii należących do innych organizacji. Konstruktor szablonów zdarzeń ładował wszystkie włączone galerie bez stosowania ograniczeń dostępu opartych na organizacji lub dystrybucji.

Punkt końcowy raportowania CSP w MISP miał ograniczać raporty do 1 KB, ale błędnie akceptował raporty do 1 MB przed obcięciem. W przypadku, gdy punkt jest dostępny dla niezaufanych klientów, atakujący mogą generować nadmierną ilość logów, prowadząc do wyczerpania zasobów lub zalania logami.

W MISP do wersji 2.5.38 w przepływie tworzenia propozycji ShadowAttribute akceptowano pole 'id' od klienta, co pozwalało uwierzytelnionym użytkownikom na aktualizację istniejących atrybutów zamiast tworzenia nowych propozycji. Może to prowadzić do nieautoryzowanej modyfikacji danych.

Wtyczka uwierzytelniania OIDC w MISP umożliwiała automatyczne powiązanie tożsamości OIDC z istniejącym lokalnym kontem użytkownika na podstawie adresu e-mail, gdy lokalne konto nie miało zapisanej wartości sub. W niebezpiecznych lub niezaufanych konfiguracjach IdP, gdzie własność e-maila nie jest egzekwowana, atakujący z ważnym tokenem OIDC może podać adres e-mail ofiary i uwierzytelnić się jako ten użytkownik, prowadząc do przejęcia konta.

W MISP, przed wersją 2.5.37, występowała podatność na wstrzykiwanie SQL w obsłudze parametrów sortowania kontrolowanych przez użytkownika w punktach końcowych listowania zdarzeń i atrybutów. Atakujący mógł wykorzystać złośliwy parametr sortowania do manipulacji generowanym zapytaniem SQL.

MISP to platforma do zarządzania informacjami o zagrożeniach. W wersjach przed 2.5.37 występowała podatność związana z niewłaściwą kontrolą dostępu w funkcji resetowania kluczy uwierzytelniających, co pozwalało administratorom organizacji na resetowanie kluczy kont administratorów witryny w tej samej organizacji.

W MISP przed wersją 2.4.193 parametry menu_custom_right_link_html mogą być ustawiane za pomocą interfejsu użytkownika, co pozwala atakującym z uprawnieniami administratora przeprowadzać ataki XSS na każdej stronie.

W MISP przed wersją 2.4.193 parametry menu_custom_right_link mogą być ustawiane za pomocą interfejsu użytkownika, co pozwala atakującym z uprawnieniami administratora przeprowadzać ataki XSS poprzez globalny link menu.

W MISP przed wersją 2.4.198 w pliku app/Model/Attribute.php podczas wyszukiwania atrybutów w GUI ignorowane są zasady ACL.

W MISP w wersji 2.4.174 odkryto problem związany z odzwierciedloną podatnością XSS. Problem występuje w pliku app/Controller/DashboardsController.php poprzez parametr id podczas edytowania dashboardu.

MISP w wersji 2.4.174 umożliwia atak XSS w pliku app/View/Events/index.ctp.

W MISP przed wersją 2.4.172, parametr title_for_layout nie jest odpowiednio sanitizowany w Correlations, CorrelationExclusions oraz Layouts.

MISP w wersji 2.4.172 niewłaściwie obsługuje różne rozszerzenia plików certyfikatów podczas synchronizacji serwera. Atakujący może uzyskać dostęp do wrażliwych informacji z powodu charakteru komunikatów o błędach.

W MISP w wersji 2.4.169, plik app/Lib/Tools/CustomPaginationTool.php umożliwia atak XSS w indeksie społeczności.

W pliku js/event-graph.js w MISP przed wersją 2.4.169 występuje podatność na atak XSS poprzez podpowiedzi narzędzi węzłów wykresu zdarzeń.

W MISP w wersji 2.4.167 występuje podatność XSS, która umożliwia atak poprzez nazwę historii sieci w pliku app/webroot/js/action_table.js.

W MISP przed wersją 2.4.167 występuje podatność XSS w pliku szablonu do przesyłania plików w app/View/Templates/upload_file.ctp.