Podatności MISP

MISP zawiera podatność w mechanizmie wysyłania zadań w tle, która pozwala na zdalne wykonanie kodu jako użytkownik web. Argumenty zadań są przekazywane bezpośrednio jako argv procesu konsoli CakePHP, a ShellDispatcher::_parsePaths() skanuje całe argv w poszukiwaniu przełączników ścieżek. Endpoint events/contact przekazuje kontrolowane przez użytkownika pola (message i person) do argumentów zadania bez walidacji. Atakujący może ustawić pole person na zarezerwowany przełącznik, a pole message na URI phar:// wskazujący na złośliwe archiwum, co prowadzi do wykonania kodu PHP.

W podatnych wersjach MISP nie jest konsekwentnie stosowane istniejące ograniczanie częstotliwości logowania nieudanych uwierzytelnień. Dwie gałęzie obsługi niepowodzeń uwierzytelniania API zapisywały bezpośrednio do modelu Log: żądania API bez klucza uwierzytelniającego oraz żądania z kluczem o nieprawidłowej długości. W przeciwieństwie do innych niepowodzeń uwierzytelniania ścieżki te omijały _shouldLog(), więc każde żądanie mogło utworzyć kolejny trwały wpis auth_fail. Dotyczy wersji ≤2.5.45.

W podatnych wersjach MISP używany jest Redis do ograniczania powtarzających się wpisów logowania nieudanych uwierzytelnień. Jednak User->setupRedis() zwraca false, gdy Redis jest niedostępny, a logika _shouldLog() zwracała true tylko wtedy, gdy instancja Redis istniała i nie było klucza ograniczającego. W związku z tym, gdy Redis był niedostępny, funkcja w ogóle nie pozwalała na zapis logu, skutecznie wyciszając rejestrowanie nieudanych uwierzytelnień na czas awarii. Dotyczy wersji ≤2.5.45.

Wersje MISP do 2.5.45 mogą rejestrować nieprawidłowe dane dziennika dostępu dla żądań kończących się wyjątkiem. Ze względu na to, że CakeErrorController rozszerza AppController, renderowanie wyjątku uruchamia ścieżkę startową aplikacji po raz drugi, co powoduje podwójne wywołanie AccessLog::logRequest() dla jednego żądania HTTP. Drugi zapis może nadpisać wiersz utworzony przez pierwszy, uszkadzając czas trwania żądania, liczbę zapytań SQL, użycie pamięci i potencjalnie dziennik zapytań.

Wersje MISP do 2.5.45 udostępniają kilka akcji kontrolerów zmieniających stan bez ograniczenia do metody POST. Dotyczy to akcji purgeUnusedPictures(), enableNoticelist(), removeOrphanedCorrelations() i rebuildRedis(). Atakujący może wywołać te akcje przez zwykłe żądania GET, wykorzystując sesję uwierzytelnionego użytkownika, co może prowadzić do nieautoryzowanych zmian.

Podatność w MISP dotyczy nieprawidłowego filtrowania szablonów pulpitu nawigacyjnego ograniczonych do określonej flagi uprawnień. Funkcja listTemplates() zezwalała na szablon, gdy flaga uprawnień pasowała do uprawnień użytkownika lub gdy flaga była równa 0. Ponieważ pole jest typu varchar, MySQL dokonywał konwersji numerycznej, przez co ciągi takie jak 'perm_site_admin' były traktowane jako 0, co powodowało, że szablony z ograniczeniami były traktowane jako nieograniczone.

W podatnych wersjach MISP element kolekcji może zostać utworzony z samego UUID bez konsekwentnego sprawdzania, czy działający użytkownik ma prawo dostępu do obiektu, na który wskazuje UUID. Ścieżka add() mogła zapisać UUID zdarzenia lub Galaxy Cluster, którego wywołujący normalnie nie może odczytać, co czyniło kolekcje sposobem na odwoływanie się do prywatnych danych innej organizacji. Poprawka centralizuje autoryzację w __assertCanUseElements(). Wersje podatne: ≤2.5.45.

W podatnych wersjach MISP nie następuje autoryzacja przesłanego sharing group w określonej ścieżce edycji zdarzenia. Logika sprawdzała uprawnienia do sharing_group_id tylko wtedy, gdy żądanie jawnie podawało distribution = 4; pominięcie distribution przy jednoczesnym podaniu innego sharing_group_id omijało tę kontrolę, a logika odzyskiwania pól przywracała istniejącą dystrybucję zdarzenia. Poprawka dodaje sprawdzenia autoryzacji w kontrolerze i Event::_edit(). Wersje podatne: ≤2.5.45.

Podatność w MISP wynika z polegania na przetwarzaniu nadpisań metod żądań w CakePHP, co może wyłączyć walidację CSRF i zabezpieczeń formularzy. CakePHP honoruje pole _method lub nagłówek X-HTTP-Method-Override, zmieniając efektywną metodę żądania. Dla wartości spoza standardowych czasowników (POST, PUT, PATCH, DELETE) CakePHP czyści treść żądania, przez co MISP pomija walidację _validatePost() i _validateCsrf(). Atakujący może wysłać formularz z _method=GET, aby ominąć zabezpieczenia.

Dotknięte wersje MISP serwują przesłane obrazy SVG bez restrykcyjnej piaskownicy przeglądarki. Złośliwe skrypty wewnątrz SVG mogą wykonać się, gdy SVG jest otwierane bezpośrednio lub osadzone jako dokument, działając w kontekście MISP z sesją przeglądającego. Dotyczy to logo organizacji oraz obrazów SVG w raportach zdarzeń. Podatne zachowanie występuje na ścieżce serwowania, nie tylko podczas przesyłania. Wersje dotknięte: ≤2.5.45.

Dotknięte wersje interaktywnej powłoki CLI MISP nie zachowują w sposób niezawodny tożsamości personifikowanego użytkownika MISP w dziennikach audytowych. Zachowanie SysLogLogable przechowywało tożsamość w stanie instancji, który mógł zostać nadpisany, gdy inny model dołączył współdzielone zachowanie. W rezultacie późniejsze zapisy CLI mogły utracić przypisanie do użytkownika i być logowane niepoprawnie. Dodatkowo rekordy pochodzące z CLI nie miały znacznika CLI, przez co wyglądały jak zwykłe akcje webowe danego użytkownika. Wersje dotknięte: ≤2.5.45.

Interaktywna powłoka CLI MISP w wersjach <= 2.5.45 implementuje kontrolę dostępu niezależnie od aplikacji webowej, powodując niespójności autoryzacji. Może to prowadzić do ujawnienia danych, w tym poświadczeń autoryzacyjnych HTTP w Feed.headers oraz kluczy uwierzytelniających synchronizacji serwerów, a także nieprawidłowej kontroli dostępu do list kanałów, szczegółów grup udostępniania i kontekstu rekordów.

MISP w wersji <= 2.5.45 zawiera podatność CSRF w UserSettingsController. Akcje setTheme, setHomePage i eventIndexColumnToggle zostały dodane do listy unlockedActions, co wyłączyło walidację CSRF (zarówno tokenu, jak i field-hash) dla tych endpointów, umożliwiając atakującemu sfałszowanie żądań zmieniających ustawienia zalogowanego użytkownika.

MISP w wersjach do 2.5.45 włącznie nie egzekwuje spójnie uprawnień działającego użytkownika podczas tworzenia szablonów zdarzeń. Ścieżka tworzenia szablonu przekazywała sharing_group_id bez weryfikacji, czy użytkownik może użyć wybranej grupy udostępniania, dołączała tagi bez sprawdzania uprawnień do tagowania i wymuszała local => 0, przez co tagi oznaczone jako local_only mogły być dołączane globalnie i propagowane przez synchronizację lub eksport.

Podatne wersje MISP pozwalają nieuwierzytelnionym lub słabo ograniczonym ścieżkom żądań na wykonywanie trwałej pracy bez odpowiednich ograniczeń wejścia lub limitowania szybkości. Endpoint resetowania hasła users/forgot przyjmował kontrolowaną przez atakującego wartość e-mail bez wcześniejszego narzucenia rozsądnego limitu długości lub walidacji formatu, co powodowało wielokrotne zapisanie wartości na żądanie. Poprawka dodaje maksymalną długość 1024 bajtów, walidację formatu e-mail, budżet żądań przed uwierzytelnieniem, odpowiedzi HTTP 429, 15-minutowy cooldown oraz obsługę tylko POST i ochronę CSRF.

MISP w wersjach do 2.5.45 pozwala uwierzytelnionym użytkownikom na pobieranie rekordów referencji obiektów po UUID przez EventGraphTool::get_reference_data() bez sprawdzania, czy użytkownik ma uprawnienia do widoku obiektu, do którego referencja należy. Brak kontroli ACL na poziomie obiektu nadrzędnego umożliwia dostęp do informacji poza zakresem uprawnień.

W MISP w wersjach do 2.5.45 włącznie, kilka widgetów pulpitu nawigacyjnego wyświetlających informacje o organizacjach nie przestrzegało ustawienia Security.hide_organisation_index_from_users. Uwierzytelnieni użytkownicy bez uprawnienia perm_sharing_group mogli wyliczać organizacje, które normalnie były przed nimi ukryte, a także uzyskiwać dodatkowe pola z bazy danych przez eksport JSON. Dodatkowo, widget rankingu kontrybutorów ujawniał wszystkie organizacje z zdarzeniami, ignorując to samo ustawienie widoczności.

MISP w wersjach do 2.5.45 niewystarczająco waliduje adresy URL używane przez widgety pulpitu, szczególnie widget Button. Poprzednia logika uważała URL za bezpieczny, jeśli był względny lub hostname zgadzał się z hostem MISP, ale nie odrzucała niebezpiecznych schematów, takich jak javascript: lub adresów z backslashami, co prowadziło do przechowywanego XSS.

Podatne wersje MISP ujawniają metadane organizacji poprzez selektor organizacji na pulpicie nawigacyjnym, nie stosując tych samych ograniczeń widoczności, które są egzekwowane przez zwykły indeks organizacji i widok pojedynczej organizacji. Endpoint zwracał pola takie jak ID organizacji, UUID oraz nazwa. Gdy opcja Security.hide_organisation_index_from_users była włączona, normalne wyliczanie organizacji było ograniczone, ale selektor na pulpicie nadal odpytywał wszystkie organizacje, co pozwalało uwierzytelnionym użytkownikom odkryć organizacje, które powinny pozostać ukryte. Poprawka wywołuje Organisation::createConditions($this->Auth->user()) i dołącza wynikające warunki ACL do zapytania selektora. Wersja podatna: ≤2.5.45.

MISP w wersjach do 2.5.45 niespójnie egzekwował widoczność adresów e-mail w DashboardsController::listTemplates(). Zapytanie zawsze pobierało User.email, a redakcja następowała tylko w gałęzi nie-REST. W rezultacie uwierzytelniony użytkownik, który widział zredagowane dane w normalnym interfejsie HTML, mógł zażądać reprezentacji REST/JSON i otrzymać adresy e-mail właścicieli szablonów bez odpowiedniego sprawdzenia uprawnień.

Dotknięte wersje MISP nie egzekwują widoczności zdarzenia nadrzędnego podczas udostępniania kluczy kryptograficznych przez CryptographicKeysController::view(). Podatny handler zapytuje CryptographicKey bezpośrednio na podstawie podanego ID klucza i wybiera wrażliwe pola, takie jak type, key_data i fingerprint, ale nie pobiera ani nie autoryzuje powiązanego zdarzenia nadrzędnego. Poprawka dodaje parent_id i parent_type do wyszukiwania i egzekwuje autoryzację przez powiązane zdarzenie za pomocą fetchSimpleEvent($user, parent_id). Jeśli rodzic nie jest zdarzeniem, dostęp jest ograniczony do administratorów witryny.

W MISP do wersji 2.5.45 walidacja konfigurowalnej strony głównej sprawdza tylko, czy ścieżka zaczyna się od '/', co jest niewystarczające. Adresy URL względne protokołu, takie jak '//attacker.example', również zaczynają się od '/', ale w przeglądarkach prowadzą do zewnętrznego pochodzenia. Podatna wartość strony głównej może być zapisana jako ustawienie użytkownika i użyta po zalogowaniu w logice przekierowań.

W systemie MISP w wersjach do 2.5.45 każdy uwierzytelniony użytkownik może uzyskać dostęp do funkcji TemplatesController::uploadFile(), ponieważ wpis ACL dla templates/uploadFile używał wildcarda *. Obejście to pozwala użytkownikom o niskich uprawnieniach lub tylko do odczytu na wielokrotne przesyłanie plików i zapełnianie dysku serwera. Poprawka zmienia wymaganie ACL z * na perm_add.

Podatne wersje MISP zawierają nieprawidłowe sprawdzanie autoryzacji w funkcji podglądu freetext feed. Podgląd wykonuje wyszukiwania korelacji na atrybutach z zdarzeń bez uwzględnienia ACL użytkownika, co pozwala na ujawnienie korelacji i informacji o zdarzeniach, do których użytkownik nie ma dostępu. Dodatkowo funkcja zwraca informacje o korelacjach między feedami bez ograniczenia listy feedów do widocznych dla wywołującego, ujawniając metadane feedów nieoznaczonych jako lookup_visible, a w jednym przypadku także skonfigurowany URL feedu.

Widok kolekcji UiBeta w MISP (app/View/Themed/UiBeta/Collections/view.ctp) wykonuje dodatkowe zapytanie o zdarzenia członkowskie po UUID bez zastosowania listy kontroli dostępu (ACL) wywołującego. Uwierzytelniony użytkownik z dostępem do kolekcji może pobrać pełne szczegóły zdarzeń, do których nie ma uprawnień, w tym identyfikatory, informacje, daty, znaczniki czasu, organizację twórcy, tagi i klastry galaktyk.

W MISP wykryto podatność CSRF (Cross-Site Request Forgery), wynikającą z wyłączania zabezpieczeń formularzy i ochrony CSRF dla żądań identyfikowanych jako REST. Identyfikacja REST może być manipulowana przez właściwości żądania, takie jak nagłówek Accept, co pozwala atakującemu na wysyłanie żądań z innej domeny bez preflight CORS. W rezultacie MISP wyłącza ochronę CSRF dla żądań uwierzytelnionych sesją przeglądarki ofiary.

MISP zawiera podatność CSRF w funkcji szybkiej edycji grup udostępniania. Akcje addOrg, removeOrg, addServer i removeServer współdzielą pomocnik __initialiseSGQuickEdit(), gdzie walidacja metody HTTP mająca ograniczyć te operacje do żądań POST została zakomentowana. W rezultacie te zmieniające stan akcje mogły być wywoływane za pomocą żądań GET. Atakujący może spreparować URL i spowodować, że uwierzytelniony użytkownik MISP z odpowiednimi uprawnieniami go otworzy, co może zmodyfikować członkostwo w grupie udostępniania bez intencji ofiary.

Podatność nieprawidłowej autoryzacji w MISP pozwalała uwierzytelnionym użytkownikom na usuwanie atrybutów z zdarzeń pomimo braku wymaganych uprawnień perm_modify lub perm_modify_org. Dotknięte ścieżki usuwania atrybutów opierały się na sprawdzeniach członkostwa w organizacji wykonywanych przez MispAttribute::deleteAttribute(), ale nie egzekwowały spójnie zasad autoryzacji modyfikacji zdarzeń MISP. W rezultacie użytkownik należący do organizacji powiązanej ze zdarzeniem mógł potencjalnie usuwać pojedyncze atrybuty lub wykonywać masowe usuwanie atrybutów, nawet jeśli jego rola nie była upoważniona do modyfikacji zdarzenia.

Wada autoryzacji w MISP pozwalała uwierzytelnionemu użytkownikowi na przesłanie sharing_group_id bez weryfikacji, czy użytkownik jest upoważniony do korzystania z przywołanej Grupy Udostępniania. W kilku przepływach tworzenia i edycji atrybutów oraz klastrów Galaxy walidacja przesłanej Grupy Udostępniania była wykonywana tylko wtedy, gdy żądanie jawnie ustawiało pole dystrybucji na 4 ("Sharing Group"). Atakujący mógł więc spreparować żądanie zawierające sharing_group_id, pomijając parametr dystrybucji lub w inny sposób unikając warunku dystrybucja == 4, co powodowało pominięcie sprawdzenia autoryzacji Grupy Udostępniania.

Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.

MISP zawiera podatność na fiksację sesji w przepływie uwierzytelniania CustomAuth. Po pomyślnym uwierzytelnieniu przez CustomAuth, MISP przechowuje tożsamość uwierzytelnionego użytkownika w istniejącej sesji bez wcześniejszej rotacji identyfikatora sesji. Atakujący, który zna identyfikator sesji ofiary przed uwierzytelnieniem, może go później wykorzystać do uzyskania dostępu do uwierzytelnionej sesji ofiary.

Podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP) opartym na e-mailu w MISP pozwalała atakującemu na nieograniczoną liczbę prób weryfikacji OTP. Endpoint email_otp() nie stosował ochrony przed brute-force, co umożliwiało wielokrotne zgadywanie OTP i potencjalne ominięcie dodatkowego czynnika uwierzytelniania.

Podatność CSRF w akcji cullEmptyEvents w MISP. Endpoint wykonywał operację zmieniającą stan i nieodwracalną, akceptując żądania HTTP GET. Atakujący mógł spowodować, że uwierzytelniony użytkownik z odpowiednimi uprawnieniami wywoła endpoint, co prowadzi do usunięcia opublikowanych pustych zdarzeń.

W MISP wykryto podatność polegającą na braku walidacji adresów URL przy zapisie konfiguracji widgetu ButtonWidget w panelu dashboardu. Uwierzytelniony użytkownik mogący modyfikować ustawienia widgetów mógł zapisać dowolny adres URL, w tym korzystający ze schematu javascript:. Walidacja była stosowana wyłącznie w momencie renderowania widgetu, a nie w momencie zapisu konfiguracji.

MISP zawiera odbitą podatność Cross-Site Scripting (XSS) w konstruktorze zapytań filtrowania atrybutów zdarzeń. Parametry URL taggedAttributes i galaxyAttachedAttributes były wstawiane do reguł konstruktora zapytań bez escapowania HTML przed serializacją do JSON i osadzeniem wewnątrz elementu <script>.

MISP zawiera wadę autoryzacji w silniku korelacji OnDemand, gdzie korelacje były obliczane wyłącznie na podstawie pasujących wartości atrybutów bez uwzględniania ograniczeń dystrybucji, grupy udostępniania, organizacji lub innych ograniczeń kontroli dostępu związanych z korelowanymi atrybutami i zdarzeniami. W rezultacie uwierzytelniony użytkownik mógł otrzymać wyniki korelacji odnoszące się do atrybutów lub zdarzeń, do których nie był upoważniony.

Podatność typu path traversal w MISP podczas importu STIX 2 i eksportu MISP-do-STIX 2. Nazwy obiektów MISP nie były wystarczająco walidowane przed użyciem w ścieżce plików do rozwiązywania szablonów, co pozwalało na wyjście poza katalog szablonów i wczytanie pliku definition.json z innej lokalizacji. Atakujący mógł dostarczyć złośliwą nazwę obiektu (np. zawierającą ../) przez niestandardowy obiekt STIX lub trwałe zdarzenie MISP.

Walidator adresów URL webhooków w `website/notifications/webhooks.py` używa `ip.is_global` do odrzucania adresów niepublicznych po rozwiązywaniu DNS. Adresy przejściowe IPv6 (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) są klasyfikowane przez IANA jako globalnie rutowalne, więc `is_global` zwraca `True`, nawet gdy osadzony cel IPv4 jest prywatny, pętla zwrotna lub metadane chmury. Atakujący może zarejestrować webhook wskazujący na nazwę hosta, która rozwiązuje się na adres przejściowy, aby ominąć zabezpieczenie SSRF i eksfiltrować dane o podatnościach do wewnętrznego punktu końcowego. Podatność została wprowadzona w wersji niebędącej wydaniem. Poprawka została już naniesiona na HEAD. Dotyczy tylko organizacji uruchamiających HEAD.

W konfiguracji Apache HTTP dla MISP wykryto błędny przekierunek HTTP na HTTPS, który nie zawierał końcowego ukośnika w docelowym adresie URL. Atakujący może wykorzystać tę lukę do przekierowania użytkownika na złośliwą stronę poprzez odpowiednio spreparowane żądanie HTTP.

W MISP funkcja importModule() używała getEnabledModule() do rozpoznawania modułów importu, ale nie egzekwowała ograniczeń organizacyjnych. Uwierzytelniony użytkownik z organizacji, której nie zezwolono na korzystanie z modułu, mógł go wywołać bezpośrednio, znając jego nazwę.

Podatność w MISP pozwalała uwierzytelnionym użytkownikom lub kluczom API tylko do odczytu, mającym dostęp do przeglądania zdarzeń, na zapisywanie danych do zdarzeń, których nie mieli prawa modyfikować. Problem występował w metodzie EventsController::importModule() podczas przetwarzania wyników w formacie misp_standard, gdzie nie sprawdzano uprawnień do modyfikacji przed zapisem.

MISP pozwalał uwierzytelnionemu administratorowi na ustawienie konfiguracji Kafka_rdkafka_config na dowolną ścieżkę w systemie plików, co mogło prowadzić do wykonania dowolnego kodu z uprawnieniami procesu MISP.

MISP umożliwia administratorowi serwisu skonfigurowanie dowolnej ścieżki systemu plików dla logu błędów NDJSON używanego przez JsonLogTool. Z powodu możliwości wstrzyknięcia kodu PHP przez atakującego, który ma uprawnienia administratora, może dojść do zdalnego wykonania kodu.

W MISP występuje luka autoryzacyjna w obsłudze dodawania/edycji obiektów, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edycji obiektów przypisać obiekt lub atrybuty do grupy udostępniania, do której nie ma uprawnień. Walidacja grupy udostępniania była wykonywana na niewłaściwej strukturze danych, co omijało sprawdzenie.

MISP zawiera podatność na refleksyjny atak typu cross-site scripting w widoku indeksu zdarzeń UiBeta. Wartość urlparams jest wstawiana do wewnętrznego handlera JavaScript, co pozwala atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

MISP zawiera podatność na przejście ścieżki w metodzie OrganisationsController::getOrgLogo. Kod podatny buduje ścieżki do plików logo organizacji, wykorzystując pola kontrolowane przez organizację, co pozwala atakującemu na dostęp do plików spoza zamierzonego katalogu.

MISP zawiera niebezpieczną domyślną konfigurację, w której kontrola Security.check_sec_fetch_site_header jest wyłączona. To umożliwia atakującym zdalnym, nieautoryzowanym użytkownikom wysyłanie złośliwych żądań do punktów końcowych automatyzacji MISP w imieniu uwierzytelnionych użytkowników.

W MISP występuje podatność związana z nieprawidłową autoryzacją, która pozwala administratorowi organizacji na celowanie w konta administratorów serwisu w tej samej organizacji za pomocą funkcji e-mailowej. Kod ograniczał administratorów organizacji do użytkowników w ich własnej organizacji, ale nie wykluczał kont z rolą administratora serwisu z zapytań do odbiorców.

W MISP wystąpiła podatność związana z niewłaściwą autoryzacją, która pozwalała administratorowi organizacji na dostęp do ustawień użytkowników kont administratorów witryny w tej samej organizacji. Kontrola dostępu nie wykluczała użytkowników z wyższymi uprawnieniami, co umożliwiało modyfikację ustawień konta administratora witryny.

Podatność w widżetach dashboardu MISP pozwalała uwierzytelnionemu użytkownikowi manipulować opcją 'fields' i wpływać na zwracane pola przez widżety 'New Users' i 'New Organisations'. W niektórych przypadkach żądanie pustego zestawu pól mogło spowodować zwrócenie niezamierzonych pól modelu, w tym adresów e-mail użytkowników, nawet jeśli ich ujawnianie było wyłączone.