Podatności MISP

W pliku app/Controller/UsersController.php w MISP przed wersją 2.4.164 istnieje luka, która pozwala atakującym na odkrycie nazw ról, które powinny być dostępne tylko dla administratora serwisu.

W MISP przed wersją 2.4.158 odkryto problem, który pozwala na obejście potwierdzenia hasła w pliku UsersController.php poprzez wykorzystanie nagłówka 'Accept: application/json'.

W MISP przed wersją 2.4.158 odkryto problem związany z XSS w pliku app/Controller/OrganisationsController.php, który występuje w sytuacji z 'dziwną stroną z pojedynczym polem wyboru'.

W MISP przed wersją 2.4.158 odkryto problem związany z XSS w widoku cerebrate. Jeśli jeden administrator wprowadzi URL z javascript: w polu URL, a inny administrator na niego kliknie, może to prowadzić do wykonania nieautoryzowanego skryptu.

W MISP przed wersją 2.4.158 odkryto problem związany z przechowywaniem XSS w grafie zdarzeń poprzez nazwę tagu.

W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w klastrach galaktycznych.

W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w polu logowania LinOTP.

W MISP przed wersją 2.4.156 zidentyfikowano problem związany z logo organizacji w formacie SVG, które domyślnie nie ma zakazu używania JavaScript.

W MISP przed wersją 2.4.156 odkryto problem, który pozwala złośliwemu administratorowi na zapisanie ładunku XSS w niestandardowej nazwie autoryzacji. Ładunek ten będzie wykonywany za każdym razem, gdy administrator modyfikuje użytkownika.

W MISP przed wersją 2.4.156 odkryto problem, który pozwala na lokalne włączenie pliku poprzez ustawienie niestandardowego pliku warunków w app/View/Users/terms.ctp.

W MISP w wersji 2.4.147 występuje podatność na przechowywane XSS w pliku app/View/GalaxyElements/ajax/index.ctp, która może być wykorzystana podczas przeglądania elementów klastra galaktycznego w formacie JSON.

W MISP w wersji 2.4.147 występuje podatność na przechowywane XSS w pliku view_relation_tree.ctp, co pozwala na wykonanie złośliwego kodu podczas przeglądania relacji klastrów galaktycznych.

W MISP 2.4.141 w pliku app/Model/MispObject.php występuje błąd związany z nieprawidłowym powiązaniem grupy udostępniania, co może prowadzić do ujawnienia informacji podczas edytowania zdarzenia. Zamiast używać obiektu grupy udostępniania, ponownie wykorzystuje się przekazany lokalny identyfikator.

W MISP 2.4.139 odkryto problem w pliku app/Model/SharingGroupServer.php, który w implementacji grup udostępniania czasami przyznawał dostęp do widoku niezamierzonym podmiotom poprzez flagę 'wszystkie organizacje'.

W MISP v2.4.128 występuje podatność na atak typu cross-site scripting (XSS) w funkcji SetHomePage() w pliku app/Controller/UserSettingsController.php. Brak walidacji kontrolera w parametrze 'path' pozwala atakującemu na wykonanie złośliwego kodu JavaScript.

MISP w wersji 2.4.136 zawiera podatność XSS, która może być wykorzystana poprzez spreparowany URL do przycisku ulubionych na stronie głównej użytkownika w pliku app/View/Elements/global_menu.ctp.

MISP w wersji 2.4.136 zawiera podatność XSS, która występuje poprzez wartości elementów klastra galaktyki w pliku app/View/GalaxyElements/ajax/index.ctp. Typy referencyjne mogą zawierać adresy URL w formacie javascript:.

MISP w wersji 2.4.136 zawiera podatność typu Stored XSS w widoku klastrów galaktycznych, która może być wykorzystana poprzez nazwę klastra w pliku app/View/GalaxyClusters/view.ctp.

W MISP w wersji 2.4.134 występuje podatność XSS w widoku elementu szablonu index, spowodowana niewłaściwym przetwarzaniem parametru id.

MISP w wersjach do 2.4.133 umożliwia atak typu SSRF (Server-Side Request Forgery) w kliencie REST poprzez parametr use_full_path z dowolnym adresem URL.

W MISP przed wersją 2.4.132 odkryto problem, który pozwala na wykonanie niepożądanej akcji w wyniku operacji POST na formularzu, który nie jest powiązany z stroną logowania.

W MISP przed wersją 2.4.129 ustawienie ulubionej strony głównej nie było chronione przed atakami CSRF.

W MISP w wersji 2.4.128 zidentyfikowano problem, w którym plik app/Controller/EventsController.php nie sprawdza kontroli ACL dla wydarzeń przed umożliwieniem użytkownikowi wysłania formularza kontaktowego wydarzenia.

W MISP w wersji 2.4.127 brakuje sprawdzenia ACL w odniesieniu do korelacji atrybutów. Problem ten występuje podczas zapytań do API restsearch atrybutów, co ujawnia metadane dotyczące korelującego, ale niedostępnego atrybutu.

W MISP przed wersją 2.4.121 wystąpił problem z niewłaściwym zarządzaniem listami kontroli dostępu (ACL) dla wątków dyskusyjnych w plikach app/Controller/ThreadsController.php oraz app/Model/Thread.php.

W MISP przed wersją 2.4.121 odkryto problem związany z niewłaściwie oczyszczonym ciągiem wyszukiwania w widoku Galaxy w pliku app/View/Galaxies/view.ctp.

W MISP przed wersją 2.4.121 odkryto problem, który nie uwzględniał metody HTTP PUT podczas próby zablokowania serii nieprawidłowych żądań w ataku typu brute-force.

W MISP przed wersją 2.4.121 odkryto problem, który polegał na braku kanonizacji nazw użytkowników podczas próby zablokowania serii nieprawidłowych żądań w ataku typu brute-force.

W MISP przed wersją 2.4.121 wystąpił problem z niewłaściwym zarządzaniem różnicą czasową między serwerem WWW a bazą danych, co mogło prowadzić do nieefektywnej ochrony przed atakami typu brute-force.

W MISP 2.4.118 w pliku app/Controller/TagsController.php użytkownicy mogą obejść zamierzone ograniczenia dotyczące tagowania danych.

MISP w wersjach przed 2.4.115 umożliwia eskalację uprawnień w określonych sytuacjach. Po aktualizacji do wersji 2.4.115, próby eskalacji są blokowane przez funkcję __checkLoggedActions.

W MISP w wersji 2.4.109 występuje podatność umożliwiająca zdalne wykonanie polecenia przez super administratora. Problem wynika z użycia funkcji PHP file_exists z danymi kontrolowanymi przez użytkownika, co prowadzi do deserializacji przy użyciu URL-i phar://.

W MISP 2.4.108 odkryto problem, który pozwala administratorom organizacji na resetowanie haseł dla administratorów strony. Może to prowadzić do nadużyć, gdy organizacja hostująca tworzy administratorów organizacji o niższych uprawnieniach.

W MISP przed wersją 2.4.107 odkryto problem w pliku app/View/Elements/Events/View/value_field.ctp, który pozwala na trwałe XSS poprzez atrybuty typu link z użyciem linków javascript://.

W MISP w wersji 2.4.102, uwierzytelniony użytkownik może zobaczyć obserwacje, do których nie powinien mieć dostępu. Wykorzystanie tej podatności wymaga dostępu do zdarzenia, które otrzymało obserwację.

W MISP w wersji 2.4.91 odkryto podatność, która pozwala na refleksyjne XSS. Problem występuje w pliku app/View/Elements/eventattribute.ctp, gdy użytkownik kliknie w złośliwy link do widoku zdarzenia, a następnie w szybki filtr usuniętych atrybutów.

W MISP 2.4.87 w pliku app/Controller/ServersController.php występuje podatność, która pozwala na nadpisanie zmiennej ścieżki na niektórych systemach Red Hat Enterprise Linux i CentOS, gdzie włączono rh_shell_fix. To umożliwia administratorom witryny wstrzykiwanie dowolnych poleceń systemowych.

Funkcja admin_edit w pliku app/Controller/UsersController.php w MISP 2.4.82 niewłaściwie obsługuje pole enable_password, co pozwala administratorom na odkrycie hasła w postaci haszowanej poprzez przeglądanie logów audytowych.