Andras Iklody

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Uma falha de autorização incorreta permite que usuários autenticados excluam atributos de eventos sem possuir as permissões `perm modify` ou `perm modify org` necessárias. O problema ocorre porque a função `MispAttribute::deleteAttribute()` realiza verificações de associação à organização, mas não aplica consistentemente as regras de autorização de modificação de eventos. Isso cria uma discrepância onde a edição de atributos é corretamente restringida via `ACL::canModifyEvent()`, mas as operações de exclusão podem ignorar essas verificações. Um invasor autenticado que seja membro da organização proprietária de um evento pode explorar isso para remover atributos individuais ou em massa, levando à modificação não autorizada ou perda de dados de inteligência de ameaças. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Uma falha de autorização permite que um usuário autenticado envie um `sharing group id` sem a verificação de sua autorização para usar o Grupo de Compartilhamento referenciado. Em fluxos de trabalho de criação e edição de atributos e Galaxy Clusters, a validação era acionada apenas quando o campo de distribuição era explicitamente definido como 4 (Sharing Group). Ao omitir o parâmetro de distribuição ou evitar essa condição específica, um usuário pode ignorar a verificação de autorização. Isso permite que um usuário com permissões para criar ou modificar objetos MISP associe dados a um Grupo de Compartilhamento não autorizado, potencialmente ignorando limites de compartilhamento de informações e resultando na distribuição não autorizada de dados para outros membros do grupo. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um problema de cross-site request forgery (CSRF) existe na funcionalidade de edição rápida de grupos de compartilhamento. As ações `addOrg`, `removeOrg`, `addServer` e `removeServer` utilizam o auxiliar ` initialiseSGQuickEdit()`, onde a validação do método HTTP destinada a restringir as operações a requisições POST foi desativada. Consequentemente, essas ações de alteração de estado podem ser disparadas via requisições GET. Um invasor pode enganar um usuário autenticado com privilégios suficientes para clicar em um link malicioso, permitindo que o invasor modifique a composição dos grupos de compartilhamento ao adicionar ou remover organizações ou servidores. Isso pode resultar em acesso não autorizado a informações distribuídas ou na interrupção do compartilhamento legítimo de informações. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um problema de cross-site request forgery (CSRF) ocorre porque o sistema desativa as proteções de segurança de formulário e CSRF se uma requisição for identificada como tráfego REST. Essa detecção pode ser manipulada por um atacante usando o cabeçalho HTTP Accept (ex: `Accept: application/json`), que pode ser enviado de uma página de origem cruzada sem a necessidade de um preflight CORS. Consequentemente, o sistema pode tratar uma requisição de um site malicioso como tráfego REST e ignorar as validações de segurança enquanto utiliza a sessão autenticada do navegador da vítima. Um atacante poderia enganar um usuário autenticado para visitar uma página maliciosa a fim de executar requisições de alteração de estado não autorizadas para endpoints suscetíveis, podendo levar à modificação, criação, publicação ou remoção não autorizada de dados. O problema origina-se na função ` isRest()`, que concede isenções de segurança com base no tipo de requisição em vez do mecanismo de autenticação. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Um problema de validação inadequada de certificado TLS existe no componente `CurlClient`. A propriedade `CurlClient::$verifyPeer` não era explicitamente inicializada, assumindo o valor padrão nulo, o que efetivamente desativava a verificação de pares TLS durante as operações cURL, a menos que fosse explicitamente habilitada pelo código de chamada. Isso permite que conexões HTTPS aceitem certificados não emitidos por uma autoridade certificadora confiável. Um ataque de man-in-the-middle poderia ser realizado por um invasor capaz de interceptar o tráfego de rede entre uma instância MISP e um serviço HTTPS remoto para personificar o endpoint. Isso poderia levar à observação de informações sensíveis, como material de autenticação e inteligência de ameaças, ou à modificação de respostas retornadas à instância MISP. **Recommendations** Aplique a correção disponível para habilitar a verificação de pares TLS por padrão e corrigir a manipulação de certificados autoassinados no componente `SyncTool`.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Uma injeção de URL insegura e persistente existe na configuração do ButtonWidget do painel. O problema ocorre porque as URLs dos widgets do painel eram validadas apenas durante a renderização e não quando a configuração era salva. Isso permite que um usuário autenticado com permissões para modificar as configurações do painel persista valores de URL arbitrários, incluindo aqueles que utilizam o esquema `javascript:`. Se esses valores atingirem um caminho de renderização ou navegação que careça de validação em tempo de execução, isso poderá levar à execução de scripts no lado do cliente dentro do contexto de segurança da sessão do MISP. Isso poderia permitir que um invasor realize ações usando os privilégios do usuário afetado ou acesse informações específicas da sessão. Esta falha é caracterizada como uma lacuna de validação na camada de persistência e uma fraqueza de defesa em profundidade. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Existe uma falha de bypass de autenticação nos componentes de autenticação LDAP e LinOTP devido à validação insuficiente de credenciais fornecidas pelo usuário. Os componentes personalizados `LdapAuthenticate` e `LinOTPAuthenticate` não replicaram as verificações de validação de credenciais da implementação `FormAuthenticate` do CakePHP, permitindo que valores vazios ou que não sejam strings chegassem aos mecanismos de autenticação. No caminho LDAP, um invasor com o e-mail de um usuário válido do diretório poderia enviar uma senha vazia; se o servidor LDAP aceitar binds não autenticados através da função `ldap bind()`, o invasor poderia se passar pelo usuário. No componente LinOTP, tipos de credenciais inválidos não eram rejeitados e, quando a autenticação mista estava habilitada, senhas vazias podiam ser validadas contra hashes locais. Além disso, contas provisionadas via LDAP podiam ser criadas com senhas locais vazias, permitindo a autenticação através do mecanismo de fallback local caso a resolução LDAP falhasse. A exploração bem-sucedida permite que um invasor remoto não autenticado personifique usuários, potencialmente obtendo acesso administrativo a dados sensíveis de inteligência de ameaças e configurações do sistema. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Uma falha no fluxo de autenticação de senha de uso único (OTP) via e-mail permite que um invasor realize um número ilimitado de tentativas de verificação de OTP. O endpoint `email otp()` não aplica proteção contra força bruta ao validar os valores de OTP enviados. Um invasor que tenha passado a etapa de autenticação primária pode enviar repetidamente valores candidatos de OTP enquanto o mesmo OTP permanece válido, aumentando a probabilidade de adivinhar o código e burlar o segundo fator de autenticação para obter acesso não autorizado à conta. O problema é agravado pelo fato de o OTP estar vinculado ao usuário em vez de a uma sessão de login específica, permitindo que múltiplas sessões simultâneas tentem adivinhar o mesmo OTP válido. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

A cross-site request forgery (CSRF) vulnerability existed in the cullEmptyEvents action of MISP. The endpoint performed a state-changing and irreversible operation while accepting HTTP GET requests. Because bodyless GET requests are not subject to CakePHP's CSRF validation, an attacker could cause an authenticated MISP user with sufficient privileges to invoke the endpoint simply by causing their browser to load a crafted URL, for example through an embedded image or other automatically requested resource. Successful exploitation triggers the deletion of published empty events. The deletion is particularly significant because the operation uses skipBlocklist, meaning the removed events do not leave blocklist entries that could prevent or track their subsequent synchronization. This can result in unintended and potentially irreversible deletion of MISP event records without explicit user interaction. The vulnerability was addressed by restricting cullEmptyEvents to HTTP POST requests, ensuring that CakePHP's normal CSRF protections are applied to the operation.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Um problema de Cross-Site Scripting (XSS) refletido existe no construtor de consultas de filtragem de atributos de eventos. Os parâmetros de URL `taggedAttributes` e `galaxyAttachedAttributes` são inseridos nas regras do construtor de consultas sem a devida codificação HTML antes de serem serializados como JSON e incorporados em um elemento `<script>`. Como a função `JsonTool::encode()` utiliza `JSON UNESCAPED SLASHES`, um valor controlado por um invasor contendo uma sequência de fechamento `</script>` pode encerrar o elemento de script e injetar HTML ou JavaScript arbitrário. Um invasor pode explorar isso convencendo um usuário autenticado a seguir uma URL manipulada, executando JavaScript malicioso no contexto de segurança da instância MISP e com os privilégios da sessão da vítima. Isso pode permitir o acesso a informações ou a modificação de dados com base nas permissões da vítima. **Recommendations** Aplique a codificação HTML utilizando a função `h()` tanto para valores escalares quanto para arrays antes que sejam inseridos no DOM. Como medida de mitigação temporária, evite o uso dos parâmetros `taggedAttributes` e `galaxyAttachedAttributes` no construtor de consultas de filtragem de atributos de eventos.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Um usuário autenticado com permissões para criar ou modificar modelos de eventos pode ignorar a validação do campo de definição do modelo. O método `EventTemplate::beforeValidate()` realiza a validação semântica apenas se a definição for um array; se for fornecida uma string pré-codificada contendo JSON malformado ou um tipo de dado inesperado, a validação `validateDefinition()` é ignorada e o valor é armazenado no banco de dados. Posteriormente, o método `EventTemplate::afterFind()` utiliza o `JsonTool::decode()` para recuperar a definição sem tratar falhas de decodificação. Isso pode disparar exceções e causar erros HTTP 500 para todos os usuários autenticados que acessarem o índice de modelos de eventos ou outras funcionalidades que dependam de consultas ao `EventTemplate`, resultando em uma negação de serviço persistente. Além disso, um JSON que represente um tipo inesperado pode levar a dados inválidos para consumidores downstream. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um problema de fixação de sessão existe no fluxo de autenticação CustomAuth. O sistema armazena a identidade do usuário autenticado na sessão existente sem rotacionar o identificador da sessão. Isso permite que um invasor use um identificador de sessão previamente conhecido para sequestrar a sessão autenticada de uma vítima e obter os privilégios de sua conta. A falha ocorre porque a função ` customAuthentication()` grava o usuário na sessão CakePHP enquanto a chamada `Session->renew()` está desativada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Existe uma falha de autorização no mecanismo de correlação OnDemand onde as correlações são calculadas apenas com base em valores de atributos correspondentes, ignorando restrições de distribuição, grupo de compartilhamento, organização e outros controles de acesso. Isso permite que um usuário autenticado com baixos privilégios receba resultados de correlação de atributos ou eventos aos quais não tem autorização de acesso, ao consultar ou criar atributos que se correlacionam com conteúdo restrito. O problema decorre do fato de o caminho de coleta de correlação não considerar o usuário solicitante e do uso de informações de controle de acesso desnormalizadas e potencialmente obsoletas em caminhos que dependem de dados de correlação armazenados. O sistema utiliza a função `fetchAttributesSimple()` para avaliar as restrições em relação aos dados em tempo real. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Uma verificação de autorização inadequada no endpoint de criação de atributos permite que um usuário autenticado com permissão para adicionar atributos envie um `sharing group id` sem acionar a verificação de autorização correspondente, desde que o valor de distribuição do atributo não seja explicitamente definido como 4 (grupo de compartilhamento). Esse bypass de controle de acesso permite que usuários associem atributos a grupos de compartilhamento que não têm permissão para usar, comprometendo potencialmente a integridade dos metadados de compartilhamento e expondo relacionamentos restritos de grupos de compartilhamento. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP core (versões afetadas não especificadas) **Descrição** Falhas de controle de acesso existem onde as verificações de autorização são realizadas contra entidades incorretas ou onde as verificações de propriedade e editabilidade estão ausentes em caminhos de gravação. Isso permite que um usuário autenticado de menor privilégio, com permissões de recursos específicos, autorize um objeto enquanto altera outro, ou modifique objetos que estão visíveis, mas não são editáveis por sua organização. As áreas afetadas incluem - Remoção de tags de Relatórios de Eventos: O relatório autorizado na rota pode diferir do ID do relatório usado para o desprendimento da tag, permitindo a remoção de tags entre organizações. - Exclusão em massa de Elementos de Coleção: A autorização ocorre contra uma coleção cujo ID corresponde ao ID da linha do elemento da coleção, em vez da coleção pai real, permitindo a exclusão de elementos de coleções que o usuário não possui. - Captura/atualização de Dados de Analista: Atualizações aninhadas podem sobrescrever registros sem a verificação de propriedade `canEditAnalystData()`, permitindo a sobrescrita de registros de dados de analistas entre organizações. - Edição de Elementos de Modelo: A autorização ocorre contra um modelo cujo ID corresponde ao ID do elemento do modelo, em vez do modelo pai, permitindo edições não autorizadas em elementos de modelo de outra organização. - Edição e mapeamentos de Modelo de Decaimento: Caminhos de gravação carregam modelos usando acesso de escopo de visualização sem verificar a propriedade de edição, permitindo que usuários editem ou remapeiem modelos visíveis pertencentes a outras organizações. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AAD Authentication Plugin (versões afetadas não especificadas) **Description** A implementação de autenticação do Azure Active Directory (AAD) contém múltiplas fraquezas em seu fluxo de autorização OAuth 2.0. A aplicação utiliza o identificador de sessão PHP `session id()` como o parâmetro de estado do OAuth, o que pode vazar tokens de sessão válidos através do histórico do navegador, cabeçalhos HTTP Referer, proxies reversos ou logs de acesso, potencialmente levando ao sequestro de sessão. A implementação não regenera o identificador de sessão após a autenticação bem-sucedida, tornando as sessões suscetíveis a fixação de sessão. Além disso, o valor de estado do OAuth não é um nonce de uso único, enfraquecendo as proteções contra CSRF e aumentando o risco de ataques de replay. O fluxo não impõe o uso de HTTPS para a URI de redirecionamento OAuth configurada, permitindo que códigos de autorização e tokens de acesso sejam transmitidos em texto simples. Adicionalmente, respostas de erro do OAuth contendo parâmetros GET controlados por atacantes são registradas sem sanitização, permitindo a falsificação ou injeção de logs. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP Core (versões afetadas não especificadas) **Descrição** Falhas de controle de acesso existem nos fluxos de exclusão em massa para Relatórios de Eventos (Event Reports) e Grupos de Compartilhamento (Sharing Groups). Os manipuladores `deleteSelection` autorizavam exclusões usando permissões amplas de nível de função em vez de validar a autorização para cada objeto selecionado. Para Relatórios de Eventos, a função `EventReportsController::deleteSelection` dependia da capacidade global `perm add`, permitindo que usuários de nível de contribuidor excluíssem permanentemente relatórios de outras organizações ao enviar IDs ou UUIDs de relatórios. Para Grupos de Compartilhamento, a função `SharingGroupsController::deleteSelection` dependia da capacidade global `perm sharing group`, permitindo que usuários excluíssem grupos de compartilhamento de outras organizações. Um invasor autenticado com essas permissões amplas de função poderia excluir objetos fora do escopo de autorização de sua organização, resultando na perda de conteúdo de relatórios de eventos ou configurações de grupos de compartilhamento em toda a instância. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um administrador do site pode configurar um caminho arbitrário no sistema de arquivos para o log de erros NDJSON usado pelo `JsonLogTool`. Como as entradas de log podem conter conteúdo controlado por um invasor, um invasor autenticado com privilégios de administrador do site pode direcionar a saída do log para um arquivo PHP em um diretório acessível via web e injetar código PHP. O acesso a esse arquivo permite a execução remota de código com os privilégios do processo do servidor web. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um administrador de site autenticado pode definir a configuração `Kafka rdkafka config` para um caminho arbitrário no sistema de arquivos. O sistema analisa o arquivo INI referenciado e passa suas opções para o rdkafka. Ao utilizar um arquivo de configuração manipulado hospedado em um local gravável pelo MISP, como um arquivo carregado ou imagem administrativa, um invasor pode usar opções do rdkafka, como `plugin.library.paths`, para carregar uma biblioteca externa, resultando na execução de código arbitrário com os privilégios do processo MISP. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Múltiplos controladores principais e caminhos de captura de modelo aceitam campos de requisição controlados pelo cliente, incluindo chaves primárias (`id`) e chaves estrangeiras de propriedade ou escopo, como `event id`, `org id`, `user id`, `sharing group id`, `galaxy cluster uuid`, `organisation uuid` e identificadores de objetos aninhados relacionados, sem a remoção, fixação ou revalidação consistente em relação aos objetos autorizados pelo servidor. Um usuário autenticado com acesso a um objeto autorizado pode enviar payloads REST ou de formulário manipulados para salvar dados em um objeto diferente daquele verificado pela lógica de autorização. Isso pode resultar em sobrescrita de objetos, reposicionamento de objetos, transferência de propriedade, definição de escopo de grupo de compartilhamento não autorizada, injeção de eventos ou objetos, redirecionamento de propostas ou a exibição de conteúdo controlado por um invasor no contexto de outro usuário. O problema decorre da função `CRUDComponent::edit()` copiar campos fornecidos, incluindo uma chave primária do payload, para o registro carregado, permitindo que a função `save()` do CakePHP atualize qualquer linha caso o ID carregado não seja fixado novamente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.