Christian Studer

يسمح عيب في منطق استيراد STIX لمستند STIX مصمم خصيصًا بالتأثير على بيانات تعريف سمات MISP الحساسة من الناحية الأمنية. يختار النظام تلقائيًا بين محلل MISP داخلي ومحلل STIX خارجي بناءً على بيانات التعريف الموجودة داخل المستند، مثل تسميات الأدوات لـ STIX2 أو عنوان المستند لـ STIX1. ونظرًا لأن هذه المؤشرات يخضع التحكم فيها للمنتج، يمكن للمهاجم تزويرها لإجبار النظام على استخدام المحلل الداخلي. عندما تتم معالجة محتوى STIX2 كعملية تصدير داخلية لـ MISP، يتم تمرير قاموس `x misp attributes` مباشرةً إلى الدالة `misp object.add attribute()` دون أي قيود. وهذا يسمح للمهاجم بإدخال حقول غير مصرح بها مثل `distribution` و`sharing group id` و`tags`. وقد يؤدي هذا التلاعب إلى مشاركة المعلومات بشكل يخالف سياسة المؤسسة أو تعطيل عمليات الأتمتة اللاحقة. تتضمن هذه المشكلة التعيين الجماعي، حيث يتم قبول الحقول المتأثرة بعوامل خارجية دون قائمة مسموح بها، واستخدام قيم غير موثوق بها لاتخاذ قرارات التصنيف ذات الصلة بالأمن.

توجد مشكلة في عزل حالة المحلل، حيث قد يتم الاحتفاظ ببيانات مستمدة من مستند STIX تمت معالجته سابقًا وإدراجها في حدث MISP تم إنشاؤه من مستند لاحق في حالة إعادة استخدام نفس مثيل المحلل. يحدث هذا لأن العديد من مكونات محلل STIX 1 و STIX 2 تحتفظ بحالة لكل مستند لا يتم مسحها بالكامل بين عمليات التحويل. في محلل STIX 2، يمكن أن تبقى معلومات المجموعات (galaxy) ومجموعات المجموعات (galaxy-cluster) بعد إعادة تعيين المحلل. بالنسبة لمحللات STIX 1، قد تتضمن البيانات المحتفظ بها المجموعات (galaxies)، والمراجع، وسجلات DNS السلبية، وعناوين الحزم، والتواريخ، والطوابع الزمنية. تؤثر هذه المشكلة بشكل أساسي على التطبيقات التي تستخدم واجهة برمجة التطبيقات (API) misp-stix مباشرةً وتعيد استخدام مثيلات المحلل عبر مستندات STIX مستقلة. قد يتمكن المهاجم من تلويث أحداث MISP اللاحقة، مما يعرض سلامة معلومات الاستخبارات المتعلقة بالتهديدات للخطر من خلال ارتباطات غير صحيحة أو معلومات سياقية مضللة. في البيئات التي تتضمن ضوابط وصول مختلفة للمستندات المتتالية، قد يؤدي ذلك إلى الكشف المحدود عن المعلومات. يتطلب استغلال هذه الثغرة أن يقوم التطبيق المستهلك بإعادة استخدام نفس مثيل المحلل ويعتمد على ترتيب المستندات التي تمت معالجتها.

توجد مشكلة رفض الخدمة عند معالجة مستندات STIX 1 أو STIX 2 التي يتحكم فيها المهاجم. يستخدم كود الاستيراد `sys.exit()` لمعالجة حالات فشل التحليل والتحميل؛ ونظرًا لأن `SystemExit` يرث من `BaseException` بدلاً من `Exception`، فإن حالات الفشل هذه تتجاوز معالجات الاستثناءات القياسية، مما يسمح لمستند تالف بإنهاء عملية الاستيراد. علاوة على ذلك، فإن عدم وجود حدود لحجم المدخلات يسمح بتجسيد المستندات في الذاكرة قبل التحقق من صحتها، مما قد يستهلك ما بين ضعفين إلى سبعة أضعاف حجم المدخلات في الذاكرة. وقد يؤدي ذلك إلى استهلاك مفرط لوحدة المعالجة المركزية (CPU) والذاكرة، مما ينتج عنه تدهور في الخدمة، أو إنهاء غير طبيعي للعملية، أو انقطاع سير العمل التلقائي للاستيعاب.

توجد مشكلة تتعلق باجتياز المسار في معالجة أسماء قوالب كائنات MISP أثناء استيراد STIX 2 وتصدير MISP إلى STIX 2. يقوم النظام بإنشاء مسار لنظام الملفات عن طريق ربط دليل قوالب كائنات MISP المُهيأ، واسم الكائن، وملف definition.json. ونظرًا لأن أسماء الكائنات الواردة من محتوى STIX أو MISP غير الموثوق به لا تخضع لقيود كافية، يمكن للمهاجم تقديم اسم مُصمم خصيصًا يحتوي على فواصل مسارات أو تسلسلات عبور مثل `../` للهروب من الدليل المقصود وتحميل ملف definition.json من موقع آخر يمكن الوصول إليه. أثناء استيراد STIX 2، يمكن للمتغير `x misp name` من كائن STIX مخصص أن يُشغّل هذه الآلية. قد تكون هذه المشكلة مستمرة، حيث إن الاسم الخبيث المخزن في حدث MISP قد تتم معالجته أثناء تصدير STIX 2 بواسطة عملية تتمتع بامتيازات أعلى. إذا تم العثور على ملف مناسب خارج دليل القوالب، فقد يتم تفسير محتوياته على أنه قالب، مما يؤدي إلى الكشف عن البيانات المحلية وتعديل البيانات الوصفية للكائن أو دلالاته.

يقوم البرنامج بعرض البيانات الواردة من مثيل MISP بعيد عبر واجهة متصفح الأحداث باستخدام تقنية الاستيفاء بـ HTML. يمكن لخادم بعيد ضار أو مخترق التحكم في حقول مثل معرّفات الأحداث ومعلومات الأحداث وأسماء المؤسسات والعلامات وألوان العلامات وتسميات TLP وتسميات التوزيع ونصوص الأخطاء/الوميض لإدخال محتوى HTML أو محتوى قابل للتنفيذ عبر البرامج النصية إلى الواجهة. يحدث هذا لأن القيم المستمدة عن بُعد تُمرر إلى `innerHTML` ولا يتم التحقق من صحة ألوان العلامات بشكل صارم، مما قد يسمح بقيم CSS ضارة.

يمكن للمستخدمين المصادق عليهم إضافة أو إزالة ردود فعل الرموز التعبيرية على التعليقات دون إجراء فحوصات للتحقق مما إذا كان مسموحًا لهم بعرض التعليق المستهدف. يقوم معالج `react()` بتمرير `comment id` الذي يتحكم فيه المستخدم مباشرةً إلى `comments repo.toggle reaction()` بعد التحقق فقط من صحة صيغة المعرّف والرموز التعبيرية المسموح بها. هذا النقص في فرض الرؤية على مستوى التعليقات يسمح للمستخدم بتعديل حالة ردود الفعل على التعليقات الخاصة أو التي يتعذر الوصول إليها إذا كان المعرّف معروفًا.

يفشل البرنامج في تطبيق الترميز HTML على القيم التي يتحكم فيها المهاجم والمستخدمة في أدوات تنسيق تلميحات الأدوات (tooltips) في ECharts Sunburst و Treemap. تتم معالجة أسماء الشرائح، التي قد تنشأ من بيانات STIX أو MISP — بما في ذلك أنواع STIX، و`relationship type`، وبادئات الأنماط، وقيم فئات أو أنواع MISP — دون تعقيم مناسب. ونظرًا لأن ECharts يفسر قيمة الإرجاع الخاصة بأداة التنسيق على أنها HTML، يمكن للمهاجم حقن علامات أو محتوى قابل للتنفيذ. وهذا يسمح بتنفيذ محتوى ضار عندما يمرر المستخدم مؤشر الفأرة فوق الشريحة المتأثرة في العرض المرئي.

يؤدي عدم كفاية التحقق من صحة بيانات تكوين الرسم البياني المحفوظة إلى تمكين مستخدم ضار من تخزين قيمة `svgIcon` مصممة خصيصًا. ونظرًا لأن هذه التكوينات يمكن عرضها من قبل مستخدمين آخرين أو مسؤولين، فإن Pivotick يفسر الخاصية `svgIcon` على أنها HTML، مما يؤدي إلى تنفيذ البرنامج النصي في متصفح المشاهد.

توجد مشكلة تتمثل في إمكانية تخزين قيمة أيقونة العلامة (tag) ومن ثم إدراجها في كود HTML باستخدام توجيه `v-html` الخاص بـ Vue. كانت الدالة `mapIcon()` تُنشئ سابقًا سلسلة HTML مباشرةً من قيمة الرمز التي يزودها المستخدم، مما يسمح لقيمة مُصممة خصيصًا بتعطيل الترميز المقصود وإدخال HTML يتحكم فيه المهاجم. وقد يؤدي ذلك إلى تنفيذ أحمال ضارة في متصفح المستخدم، بما في ذلك داخل واجهة الفرز الإدارية.

توجد ثغرة من نوع SSRF (تزوير الطلبات من جانب الخادم) يمكن من خلالها إجبار الخادم على إرسال طلبات إلى عناوين الشبكة الداخلية. فشلت عملية التحقق من صحة عناوين URL في تحليل أسماء النطاقات قبل التحقق من عناوين IP الخاصة أو عناوين loopback أو عناوين link-local أو العناوين المحجوزة، مما يسمح للمهاجمين باستخدام أسماء مضيفات تُحل إلى أهداف داخلية. وهذا يسمح للمتصلين المجهولين بتوجيه طلبات إلى الأنظمة الداخلية وقراءة الردود عبر نقاط النهاية ’/fetch misp event‘ و'/misp search events'.

يتعامل البرنامج بشكل غير صحيح مع قيم جدول التحويل ضمن ميزة تمييز نتائج البحث. فالدالة `highlight()` إما أن تُرجع النص الأساسي مباشرةً في حالة عدم وجود استعلام بحث، أو تُجري عملية استبدال باستخدام تعبير منتظم لإدراج علامات `<mark>` دون إجراء عملية هروب للمحتوى الأصلي. ونظرًا لأن الناتج تتم معالجته بواسطة وحدة عرض HTML، فإن العلامات الخبيثة في بيانات التحويل يمكن تفسيرها على أنها HTML. ويحدث هذا لأن التطبيق يفشل في تحويل الأحرف الخاصة إلى كيانات HTML قبل إدراج عناصر التمييز.

تُعرض العديد من عمليات الحساب التي تغير الحالة على شكل طلبات GET، مما يجعلها عرضة لـ «تزوير الطلبات عبر المواقع» (CSRF). CSRF هو ثغرة أمنية يقوم فيها موقع تابع لطرف ثالث بحث متصفح الضحية على إرسال طلبات مصادق عليها تلقائيًا إلى خادم مستهدف. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي ’/account/follow‘ و'/account/delete notification' و'/account/mark notification read' و'/account/mark all read'.

يفشل البرنامج في تطبيق قواعد التحكم في الوصول على مستوى التعليقات أثناء إنشاء ملفات تصدير تقارير التقييم. في حين أن عملية استرجاع التعليقات القياسية تقوم بالتصفية بشكل صحيح بناءً على رؤية التحويل، والخصوصية، والملكية، والمؤلف، والامتيازات الإدارية، فإن الدالة `build evaluation report()` تتضمن جميع تعليقات التقييم بغض النظر عن هذه القواعد. وهذا يسمح للمستخدم المصرح له بعرض عملية التحويل بتصدير التقارير بتنسيقات Markdown أو PDF والوصول إلى التعليقات الخاصة وأسماء المؤلفين المخصصة فقط لمالك عملية التحويل أو مؤلف التعليق أو أحد المسؤولين.

يوجد فحص غير كامل للتفويض في نقطة النهاية «تفاصيل سجل التحويلات». عندما يشير سجل ما إلى تحويل محذوف، يعرض النظام قيمة فارغة أثناء عملية البحث عن التحويل. ونظرًا لأن المنطق الأصلي كان يرفض الوصول فقط في حالة وجود كائن التحويل وفشله في اجتياز فحص الرؤية، فإن عمليات التحويل المحذوفة كانت تتجاوز هذا الإجراء الأمني. وهذا يسمح للمستخدم الذي يمكنه طلب إدخال معين في السجل بالوصول إلى بيانات الإدخال والإخراج المحتفظ بها لعمليات التحويل المحذوفة.

توجد مشكلة تتمثل في أن نقطة نهاية قائمة المتابعين للحساب تكشف عن عناوين البريد الإلكتروني للمستخدمين. عندما يتابع مستخدم معتمد حسابًا آخر، تقوم الدالة `get following()` بتضمين الحقل `user.email` في استجابة واجهة برمجة التطبيقات (API)، إلى جانب الاسم ومعرف المستخدم وتاريخ المتابعة. يمكن لمهاجم معتمد متابعة المستخدمين بشكل منهجي لجمع عناوين البريد الإلكتروني هذه، حيث إن هذه المعلومات ليست مطلوبة لتشغيل الوظيفة.

توجد ثغرة من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في الرسم البياني للتحويل المستخدم لتصور محتوى MISP وSTIX. يتم تمرير القيم التي يتحكم فيها المهاجم من بيانات CTI المحولة إلى وحدات تحليل HTML في واجهة مستخدم الرسم البياني دون إبطال تأثيرها بشكل كافٍ. وعلى وجه التحديد، يمكن أن تحتوي تسميات العقد، والتسميات الفرعية للعقد، وتسميات الحواف، وخصائص العقد، وخصائص الحواف، وأنواع العقد على كود HTML أو JavaScript مُصمم خصيصًا. تقوم مكتبة الرسوم البيانية Pivotick بعرض هذه القيم من خلال عمليات تحليل HTML، مما يسمح بتفسير العناصر الخبيثة التي تحتوي على معالجات الأحداث على أنها علامات ترميز. بالإضافة إلى ذلك، تستخدم وظيفة Open raw JSON دالة `document.write()` مع سلسلة HTML مُدرجة، مما يمكّن JSON المُصمم خصيصًا من حقن علامات ترميز قابلة للتنفيذ. توجد نقاط هجوم أخرى في لوحة خصائص الرسم البياني حيث تعالج الدالة `tryResolveHTMLElement` قيم السلاسل باستخدام `template.innerHTML`، مما يؤدي إلى التنفيذ عند تمرير المؤشر فوق عقدة في الرسم البياني أو عند تحديدها.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored cross-site scripting) بسبب عدم كفاية عملية تحييد محددات تعبيرات قوالب Vue في البيانات التي يتحكم فيها المستخدم والتي يتم عرضها من جانب الخادم. يمكن لمهاجم غير مصدق إدخال تعبيرات Vue ضارة باستخدام محددات `[[ ... ]]` ضمن اسم التحويل العام أو الوصف أو أسماء ملفات تعريف المستخدمين. على الرغم من استخدام ميزة Jinja HTML escaping، يتم وضع البيانات في منطقة DOM تم تجميعها بواسطة Vue، والتي تفسر المدخلات على أنها تعبير قالب بدلاً من نص عادي. من خلال استخدام مُنشئ دالة JavaScript عبر `[].constructor.constructor(...)`، يمكن للمهاجم تنفيذ تعليمات JavaScript تعسفية في سياق أمان منشأ CTI-Transmute. وهذا يتجاوز سياسة أمان المحتوى (CSP) القائمة على الرقم العشوائي (nonce) لأن مُجمِّع وقت تشغيل Vue يتطلب استثناء سياسة `unsafe-eval`. يتم تخزين الحمولة وتنفيذها عندما يقوم مستخدم أو مسؤول بعرض الصفحة المتأثرة، مما قد يسمح للمهاجم بالوصول إلى البيانات الحساسة، أو استخراج مفاتيح واجهة برمجة التطبيقات (API) أو الرموز المميزة، أو تنفيذ إجراءات تتطلب المصادقة، أو تعديل بيانات التطبيق.

توجد مشكلة تزوير الطلبات عبر المواقع في وظيفة حذف المستخدم الإداري. كانت نقطة النهاية ’/account/delete/<id>‘ تقبل طلبات HTTP GET للعمليات التي تُعدّل حالة التطبيق. يمكن لمهاجم بعيد غير مصدق عليه أن يحث مسؤولاً مصدقاً عليه ولديه جلسة عمل نشطة على زيارة رابط ضار، مما يتسبب في قيام المتصفح تلقائياً بتضمين بيانات اعتماد الجلسة وحذف حساب المستخدم المحدد دون تأكيد. قد يؤدي ذلك إلى الحذف غير المصرح به لحسابات مستخدمين عشوائية، مما ينتج عنه حرمان المستخدمين من الوصول أو تعطيل إدارة المثيل. يعتمد الاستغلال على المتغير `id` لتحديد الحساب المستهدف.

توجد مشكلة تزوير الطلبات من جانب الخادم في وظيفة إنشاء ملفات PDF لتقارير التقييم. يتم تحويل محتوى CTI الذي يتحكم فيه المستخدم، مثل أسماء التحويلات والأوصاف والتعليقات، من لغة Markdown إلى HTML وعرضه كملف PDF باستخدام WeasyPrint. استخدم برنامج العرض سلوكًا افتراضيًا لجلب عناوين URL دون تقييد البروتوكولات أو الوجهات. يمكن للمهاجم حقن مراجع موارد مصممة خصيصًا باستخدام أنظمة مثل `http://` أو `https://` أو `file://`، مما يسمح لخادم التطبيق بجلب الموارد باستخدام اتصاله بالشبكة وامتيازات نظام الملفات الخاصة به. قد يؤدي ذلك إلى الوصول إلى الخدمات الداخلية، أو استكشاف المضيفات الداخلية، أو استرداد الملفات المحلية التي يمكن لعملية التطبيق قراءتها، أو كشف المحتوى الذي تم جلبه داخل ملف PDF الذي تم إنشاؤه.

توجد مشكلة استهلاك غير خاضع للرقابة للموارد في نقطة النهاية ’/activity timeline‘ التي لا تتطلب المصادقة. تقبل نقطة النهاية معلمة الاستعلام `days` التي يتحكم فيها المستخدم والتي تفتقر إلى قيود نطاق معقولة. يمكن لمهاجم بعيد غير مصدق عليه تقديم قيمة كبيرة للغاية لهذه المعلمة، مما يجبر التطبيق على استرداد ومعالجة بيانات النشاط على مدى فترة زمنية كبيرة بشكل تعسفي. يمكن أن يؤدي هذا الإجراء إلى استنفاد موارد قاعدة البيانات أو وحدة المعالجة المركزية (CPU) أو الذاكرة، أو تأخير معالجة الطلبات المتزامنة، أو التسبب في أخطاء داخلية في الخادم، مما قد يؤدي إلى تدهور توفر الموقع الإلكتروني.