Podatności misp-stix

Podatność w bibliotece misp-stix wynika z niepełnego czyszczenia stanu parsera między konwersjami dokumentów STIX. Ponowne użycie tej samej instancji parsera może spowodować, że dane z wcześniej przetworzonego dokumentu (np. galaktyki, rekordy DNS, tytuły, znaczniki czasu) zostaną dołączone do zdarzenia MISP generowanego z kolejnego dokumentu. Problem dotyczy zarówno parserów STIX 1, jak i STIX 2.

W bibliotece misp-stix wykryto podatność na atak typu denial-of-service podczas przetwarzania dokumentów STIX 1 lub STIX 2 kontrolowanych przez atakującego. Kod importu używał sys.exit() do obsługi błędów, co powodowało nieoczekiwane zakończenie procesu, a także nie ograniczał rozmiaru przetwarzanych dokumentów, co mogło prowadzić do nadmiernego zużycia pamięci i CPU.

Podatność w misp-stix pozwala atakującemu na dostarczenie spreparowanego dokumentu STIX, który podczas importu może wpłynąć na wrażliwe metadane atrybutów MISP, takie jak dystrybucja, grupy udostępniania czy tagi. Wybór parsera (wewnętrzny MISP vs zewnętrzny STIX) opierał się na niesprawdzalnych danych (etykiety narzędzi, tytuł dokumentu), co umożliwiało podszycie się pod treści pochodzące z MISP. Dodatkowo, atrybuty z obiektów x-misp-object były kopiowane bez ograniczeń, co pozwalało na wstrzyknięcie nieoczekiwanych pól.