Podatności MISP

W endpointzie over-correlations w MISP parametr order był akceptowany z żądania użytkownika, co pozwalało uwierzytelnionemu atakującemu nadpisać porządek sortowania po stronie serwera. Może to prowadzić do manipulacji zapytaniami do bazy danych.

Błąd logiczny w komponencie CRUD MISP w obsłudze usuwania pozwalał na ominięcie walidacji, gdy żądanie używało metody HTTP DELETE. Z powodu brakujących nawiasów w warunku usuwania, wyrażenie było oceniane jako ($validationError === null && POST) || DELETE, co oznacza, że żądanie DELETE mogło być wykonane nawet gdy callback walidacji odrzucił operację. Uwierzytelniony atakujący z dostępem do odpowiedniego punktu końcowego mógł nadużyć tej wady do usunięcia rekordów chronionych przez walidację na poziomie aplikacji lub autoryzację.

Podatność na otwarte przekierowanie w MISP w funkcji UsersController::routeafterlogin() wynika z używania wartości przechowywanej w kluczu sesji pre_login_requested_url jako celu przekierowania po zalogowaniu, bez wystarczającego sprawdzenia, czy jest to lokalna ścieżka aplikacji. Nieuwierzytelniony zdalny atakujący może spreparować link, który po zalogowaniu ofiary do zaufanej instancji MISP przekieruje ją na zewnętrzną, kontrolowaną przez atakującego stronę. Łatka naprawia problem poprzez dekodowanie i parsowanie URL, odrzucając URL-e z schematem, hostem, komponentem użytkownika, brakującą lub nie-lokalną ścieżką oraz formy protokołowo-względne, takie jak //example.com i /\example.com.

Wada walidacji URL w widżecie przycisku pulpitu MISP umożliwiała akceptację spreparowanego względnego URL-a jako lokalnej ścieżki, podczas gdy przeglądarki interpretowały go jako zewnętrzny URL. Atakujący mógł skonfigurować przycisk pulpitu, który wydaje się wskazywać wewnątrz aplikacji, ale przekierowuje użytkowników na kontrolowaną przez atakującego stronę.

Wada autoryzacji w przepływie nadpisywania importera szablonów zdarzeń MISP. Podczas importowania szablonu w trybie nadpisywania aplikacja sprawdzała, czy pasujący szablon już istnieje, ale nie weryfikowała, czy importujący użytkownik należy do organizacji będącej właścicielem istniejącego szablonu. Uwierzytelniony użytkownik mógł nadpisać szablon zdarzeń należący do innej organizacji.

Problem z kontrolą widoczności w procesie tworzenia szablonów zdarzeń w MISP umożliwiał użytkownikom niebędącym administratorami witryny dostęp do prywatnych galerii należących do innych organizacji. Konstruktor szablonów zdarzeń ładował wszystkie włączone galerie bez stosowania ograniczeń dostępu opartych na organizacji lub dystrybucji.

Punkt końcowy raportowania CSP w MISP miał ograniczać raporty do 1 KB, ale błędnie akceptował raporty do 1 MB przed obcięciem. W przypadku, gdy punkt jest dostępny dla niezaufanych klientów, atakujący mogą generować nadmierną ilość logów, prowadząc do wyczerpania zasobów lub zalania logami.

W MISP do wersji 2.5.38 w przepływie tworzenia propozycji ShadowAttribute akceptowano pole 'id' od klienta, co pozwalało uwierzytelnionym użytkownikom na aktualizację istniejących atrybutów zamiast tworzenia nowych propozycji. Może to prowadzić do nieautoryzowanej modyfikacji danych.

Wtyczka uwierzytelniania OIDC w MISP umożliwiała automatyczne powiązanie tożsamości OIDC z istniejącym lokalnym kontem użytkownika na podstawie adresu e-mail, gdy lokalne konto nie miało zapisanej wartości sub. W niebezpiecznych lub niezaufanych konfiguracjach IdP, gdzie własność e-maila nie jest egzekwowana, atakujący z ważnym tokenem OIDC może podać adres e-mail ofiary i uwierzytelnić się jako ten użytkownik, prowadząc do przejęcia konta.

W MISP, przed wersją 2.5.37, występowała podatność na wstrzykiwanie SQL w obsłudze parametrów sortowania kontrolowanych przez użytkownika w punktach końcowych listowania zdarzeń i atrybutów. Atakujący mógł wykorzystać złośliwy parametr sortowania do manipulacji generowanym zapytaniem SQL.

MISP to platforma do zarządzania informacjami o zagrożeniach. W wersjach przed 2.5.37 występowała podatność związana z niewłaściwą kontrolą dostępu w funkcji resetowania kluczy uwierzytelniających, co pozwalało administratorom organizacji na resetowanie kluczy kont administratorów witryny w tej samej organizacji.

W MISP przed wersją 2.4.193 parametry menu_custom_right_link_html mogą być ustawiane za pomocą interfejsu użytkownika, co pozwala atakującym z uprawnieniami administratora przeprowadzać ataki XSS na każdej stronie.

W MISP przed wersją 2.4.193 parametry menu_custom_right_link mogą być ustawiane za pomocą interfejsu użytkownika, co pozwala atakującym z uprawnieniami administratora przeprowadzać ataki XSS poprzez globalny link menu.

W MISP przed wersją 2.4.198 w pliku app/Model/Attribute.php podczas wyszukiwania atrybutów w GUI ignorowane są zasady ACL.

W MISP w wersji 2.4.174 odkryto problem związany z odzwierciedloną podatnością XSS. Problem występuje w pliku app/Controller/DashboardsController.php poprzez parametr id podczas edytowania dashboardu.

MISP w wersji 2.4.174 umożliwia atak XSS w pliku app/View/Events/index.ctp.

W MISP przed wersją 2.4.172, parametr title_for_layout nie jest odpowiednio sanitizowany w Correlations, CorrelationExclusions oraz Layouts.

MISP w wersji 2.4.172 niewłaściwie obsługuje różne rozszerzenia plików certyfikatów podczas synchronizacji serwera. Atakujący może uzyskać dostęp do wrażliwych informacji z powodu charakteru komunikatów o błędach.

W MISP w wersji 2.4.169, plik app/Lib/Tools/CustomPaginationTool.php umożliwia atak XSS w indeksie społeczności.

W pliku js/event-graph.js w MISP przed wersją 2.4.169 występuje podatność na atak XSS poprzez podpowiedzi narzędzi węzłów wykresu zdarzeń.

W MISP w wersji 2.4.167 występuje podatność XSS, która umożliwia atak poprzez nazwę historii sieci w pliku app/webroot/js/action_table.js.

W MISP przed wersją 2.4.167 występuje podatność XSS w pliku szablonu do przesyłania plików w app/View/Templates/upload_file.ctp.

W pliku app/Controller/UsersController.php w MISP przed wersją 2.4.164 istnieje luka, która pozwala atakującym na odkrycie nazw ról, które powinny być dostępne tylko dla administratora serwisu.

W MISP przed wersją 2.4.158 odkryto problem, który pozwala na obejście potwierdzenia hasła w pliku UsersController.php poprzez wykorzystanie nagłówka 'Accept: application/json'.

W MISP przed wersją 2.4.158 odkryto problem związany z XSS w pliku app/Controller/OrganisationsController.php, który występuje w sytuacji z 'dziwną stroną z pojedynczym polem wyboru'.

W MISP przed wersją 2.4.158 odkryto problem związany z XSS w widoku cerebrate. Jeśli jeden administrator wprowadzi URL z javascript: w polu URL, a inny administrator na niego kliknie, może to prowadzić do wykonania nieautoryzowanego skryptu.

W MISP przed wersją 2.4.158 odkryto problem związany z przechowywaniem XSS w grafie zdarzeń poprzez nazwę tagu.

W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w klastrach galaktycznych.

W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w polu logowania LinOTP.

W MISP przed wersją 2.4.156 zidentyfikowano problem związany z logo organizacji w formacie SVG, które domyślnie nie ma zakazu używania JavaScript.

W MISP przed wersją 2.4.156 odkryto problem, który pozwala złośliwemu administratorowi na zapisanie ładunku XSS w niestandardowej nazwie autoryzacji. Ładunek ten będzie wykonywany za każdym razem, gdy administrator modyfikuje użytkownika.

W MISP przed wersją 2.4.156 odkryto problem, który pozwala na lokalne włączenie pliku poprzez ustawienie niestandardowego pliku warunków w app/View/Users/terms.ctp.

W MISP w wersji 2.4.147 występuje podatność na przechowywane XSS w pliku app/View/GalaxyElements/ajax/index.ctp, która może być wykorzystana podczas przeglądania elementów klastra galaktycznego w formacie JSON.

W MISP w wersji 2.4.147 występuje podatność na przechowywane XSS w pliku view_relation_tree.ctp, co pozwala na wykonanie złośliwego kodu podczas przeglądania relacji klastrów galaktycznych.

W MISP 2.4.141 w pliku app/Model/MispObject.php występuje błąd związany z nieprawidłowym powiązaniem grupy udostępniania, co może prowadzić do ujawnienia informacji podczas edytowania zdarzenia. Zamiast używać obiektu grupy udostępniania, ponownie wykorzystuje się przekazany lokalny identyfikator.

W MISP 2.4.139 odkryto problem w pliku app/Model/SharingGroupServer.php, który w implementacji grup udostępniania czasami przyznawał dostęp do widoku niezamierzonym podmiotom poprzez flagę 'wszystkie organizacje'.

W MISP v2.4.128 występuje podatność na atak typu cross-site scripting (XSS) w funkcji SetHomePage() w pliku app/Controller/UserSettingsController.php. Brak walidacji kontrolera w parametrze 'path' pozwala atakującemu na wykonanie złośliwego kodu JavaScript.

MISP w wersji 2.4.136 zawiera podatność XSS, która może być wykorzystana poprzez spreparowany URL do przycisku ulubionych na stronie głównej użytkownika w pliku app/View/Elements/global_menu.ctp.

MISP w wersji 2.4.136 zawiera podatność XSS, która występuje poprzez wartości elementów klastra galaktyki w pliku app/View/GalaxyElements/ajax/index.ctp. Typy referencyjne mogą zawierać adresy URL w formacie javascript:.

MISP w wersji 2.4.136 zawiera podatność typu Stored XSS w widoku klastrów galaktycznych, która może być wykorzystana poprzez nazwę klastra w pliku app/View/GalaxyClusters/view.ctp.

W MISP w wersji 2.4.134 występuje podatność XSS w widoku elementu szablonu index, spowodowana niewłaściwym przetwarzaniem parametru id.

MISP w wersjach do 2.4.133 umożliwia atak typu SSRF (Server-Side Request Forgery) w kliencie REST poprzez parametr use_full_path z dowolnym adresem URL.

W MISP przed wersją 2.4.132 odkryto problem, który pozwala na wykonanie niepożądanej akcji w wyniku operacji POST na formularzu, który nie jest powiązany z stroną logowania.

W MISP przed wersją 2.4.129 ustawienie ulubionej strony głównej nie było chronione przed atakami CSRF.

W MISP w wersji 2.4.128 zidentyfikowano problem, w którym plik app/Controller/EventsController.php nie sprawdza kontroli ACL dla wydarzeń przed umożliwieniem użytkownikowi wysłania formularza kontaktowego wydarzenia.

W MISP w wersji 2.4.127 brakuje sprawdzenia ACL w odniesieniu do korelacji atrybutów. Problem ten występuje podczas zapytań do API restsearch atrybutów, co ujawnia metadane dotyczące korelującego, ale niedostępnego atrybutu.

W MISP przed wersją 2.4.121 wystąpił problem z niewłaściwym zarządzaniem listami kontroli dostępu (ACL) dla wątków dyskusyjnych w plikach app/Controller/ThreadsController.php oraz app/Model/Thread.php.

W MISP przed wersją 2.4.121 odkryto problem związany z niewłaściwie oczyszczonym ciągiem wyszukiwania w widoku Galaxy w pliku app/View/Galaxies/view.ctp.

W MISP przed wersją 2.4.121 odkryto problem, który nie uwzględniał metody HTTP PUT podczas próby zablokowania serii nieprawidłowych żądań w ataku typu brute-force.

W MISP przed wersją 2.4.121 odkryto problem, który polegał na braku kanonizacji nazw użytkowników podczas próby zablokowania serii nieprawidłowych żądań w ataku typu brute-force.