Podatności misp-modules

Moduł cisco_firesight_manager_ACL_rule_export w misp-modules generuje skrypt powłoki (.sh), który uwierzytelnia się i wywołuje API Cisco fireSIGHT Manager. Moduł wstawia wartości konfiguracyjne (adres IP, login, hasło, ID domeny, ID polityki) oraz wartości atrybutów MISP (docelowe adresy IP, URL-e, komentarze) bezpośrednio do ciągów znaków w pojedynczych cudzysłowach bez ucieczki, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń powłoki. Analityk bezpieczeństwa, który uruchomi wygenerowany skrypt, wykona wstrzyknięte polecenia z własnymi uprawnieniami, co może narazić poświadczenia fireSIGHT Manager, zmodyfikować reguły ACL lub zainfekować stację roboczą. Dodatkowo moduł ma wadę, w której zmienna 'config' jest przypisywana tylko w bloku warunkowym, ale używana bezwarunkowo, co powoduje NameError (denial of service), gdy żądanie nie zawiera klucza 'config'.

W wersjach 3.0.7 i wcześniejszych występuje podatność Cross-Site Request Forgery (CSRF) w MISP Modules, która pozwala atakującemu na zmuszenie uwierzytelnionego użytkownika do wysyłania niezamierzonych żądań do punktu końcowego. Problem wynikał z wyłączenia ochrony CSRF dla blueprintu home.

W module rozszerzenia html_to_markdown w misp-modules wykryto obejście ochrony przed SSRF. Adresy IPv4 odwzorowane w IPv6 nie były normalizowane przed sprawdzeniem zakresów zablokowanych, co umożliwiało atak na interfejs pętli zwrotnej, sieć wewnętrzną lub łącza lokalnego.