Christian Studer

Uma falha na lógica de importação STIX permite que um documento STIX manipulado influencie metadados sensíveis de atributos do MISP. O sistema seleciona automaticamente entre um parser MISP interno e um parser STIX externo com base em metadados no documento, como rótulos de ferramenta para STIX2 ou o título do documento para STIX1. Como esses indicadores são controlados pelo produtor, um invasor pode falsificá-los para forçar o uso do parser interno. Quando o conteúdo STIX2 é processado como uma exportação interna do MISP, o dicionário `x misp attributes` é passado diretamente para a função `misp object.add attribute()` sem restrições. Isso permite que um invasor injete campos não autorizados, como `distribution`, `sharing group id` e `tags`. Tal manipulação pode levar ao compartilhamento de informações contrariando a política organizacional ou à interrupção de automações subsequentes. Este problema envolve atribuição em massa, onde campos influenciados externamente são aceitos sem uma lista de permissões, e o uso de valores não confiáveis para decisões de classificação relevantes para a segurança.

Um problema de isolamento de estado do parser existe onde dados de um documento STIX processado anteriormente podem ser retidos e incorporados em um evento MISP gerado a partir de um documento subsequente se a mesma instância do parser for reutilizada. Isso ocorre porque vários componentes do parser STIX 1 e STIX 2 mantêm um estado por documento que não é totalmente limpo entre as conversões. No parser STIX 2, informações de galaxy e galaxy-cluster podem sobreviver a um reset do parser. Para os parsers STIX 1, os dados retidos podem incluir galaxies, referências, controle de DNS passivo, títulos de pacotes, datas e timestamps. Este problema afeta principalmente aplicações que utilizam a API do misp-stix diretamente e reutilizam instâncias do parser em documentos STIX independentes. Um invasor poderia potencialmente contaminar eventos MISP subsequentes, comprometendo a integridade da inteligência de ameaças por meio de associações incorretas ou informações contextuais enganosas. Em ambientes com diferentes controles de acesso para documentos consecutivos, isso pode levar à divulgação limitada de informações. A exploração requer que a aplicação consumidora reutilize a mesma instância do parser e depende da ordem dos documentos processados.

Um problema de negação de serviço ocorre ao processar documentos STIX 1 ou STIX 2 controlados por um invasor. O código de importação utiliza `sys.exit()` para lidar com falhas de análise e carregamento; como `SystemExit` herda de `BaseException` em vez de `Exception`, essas falhas ignoram os manipuladores de exceção padrão, permitindo que um documento malformado encerre o processo de importação. Além disso, a ausência de limites de tamanho de entrada permite que os documentos sejam materializados na memória antes da validação, consumindo potencialmente de duas a sete vezes o tamanho da entrada em memória. Isso pode levar ao consumo excessivo de CPU e memória, resultando na degradação do serviço, encerramento anormal do processo ou interrupção de fluxos de trabalho de ingestão automatizados.

Um problema de traversal de caminho existe no tratamento de nomes de modelos de objetos MISP durante a importação de STIX 2 e a exportação de MISP para STIX 2. O sistema constrói um caminho de sistema de arquivos unindo o diretório de modelos de objetos MISP configurado, o nome do objeto e o arquivo definition.json. Como os nomes de objetos provenientes de conteúdo STIX ou MISP não confiável não são suficientemente restringidos, um invasor pode fornecer um nome manipulado contendo separadores de caminho ou sequências de traversal como `../` para escapar do diretório pretendido e carregar um arquivo definition.json de outro local acessível. Durante a importação de STIX 2, a variável `x misp name` de um objeto STIX personalizado pode acionar esse mecanismo. Este problema pode ser persistente, pois um nome malicioso armazenado em um evento MISP pode ser processado durante a exportação de STIX 2 por um processo com privilégios mais elevados. Se um arquivo adequado for encontrado fora do diretório de modelos, seu conteúdo pode ser interpretado como um modelo, levando à divulgação de dados locais e à modificação dos metadados ou da semântica do objeto.

O software renderiza dados obtidos de uma instância remota do MISP na interface do navegador de eventos usando interpolação HTML. Um servidor remoto malicioso ou comprometido pode controlar campos como IDs de evento, informações de evento, nomes de organizações, tags, cores de tags, rótulos TLP, rótulos de distribuição e texto de erro/flash para injetar HTML ou conteúdo capaz de executar scripts na interface. Isso ocorre porque valores derivados remotamente são passados para `innerHTML` e as cores das tags não são estritamente validadas, permitindo potencialmente valores de CSS maliciosos.

Usuários autenticados podem adicionar ou remover reações de emoji em comentários sem verificações de autorização para validar se têm permissão para visualizar o comentário alvo. O manipulador `react()` passa um `comment id` controlado pelo usuário diretamente para `comments repo.toggle reaction()` após apenas validar a sintaxe do ID e o emoji permitido. Essa falta de imposição de visibilidade no nível do comentário permite que um usuário modifique o estado de reação de comentários privados ou inacessíveis caso o ID seja conhecido.

O software falha ao realizar o escape HTML de valores controlados por atacantes usados nos formatadores de tooltip do ECharts Sunburst e Treemap. Nomes de fatias, que podem originar-se de dados STIX ou MISP—incluindo tipos STIX, `relationship type`, prefixos de padrão e valores de categoria ou tipo MISP—são processados sem a sanitização adequada. Como o ECharts interpreta o valor de retorno do formatador como HTML, um atacante pode injetar marcações ou conteúdo capaz de executar scripts. Isso permite a execução de conteúdo malicioso quando um usuário passa o mouse sobre a fatia afetada na visualização.

A validação insuficiente de dados de configuração de gráfico salvos permite que um usuário mal-intencionado armazene um valor `svgIcon` manipulado. Como essas configurações podem ser visualizadas por outros usuários ou administradores, a propriedade `svgIcon` é interpretada como HTML pelo Pivotick, resultando na execução de scripts no navegador do visualizador.

Existe um problema onde o valor do ícone de uma tag pode ser armazenado e posteriormente interpolado em HTML usando a diretiva `v-html` do Vue. A função `mapIcon()` anteriormente construía uma string HTML diretamente a partir do valor do ícone fornecido pelo usuário, permitindo que um valor manipulado quebrasse a marcação pretendida e injetasse HTML controlado por um invasor. Isso pode levar à execução de payloads maliciosos no navegador do visualizador, inclusive na interface de triagem administrativa.

Um problema de SSRF (Server-Side Request Forgery) existe onde o servidor pode ser coagido a fazer requisições para endereços de rede interna. A rotina de validação de URL não resolvia nomes de domínio antes de verificar endereços IP privados, de loopback, link-local ou reservados, permitindo que atacantes utilizassem hostnames que resolvem para alvos internos. Isso permite que chamadores anônimos disparem requisições para sistemas internos e leiam as respostas através dos endpoints '/fetch misp event' e '/misp search events'.

O software lida incorretamente com valores de tabela de conversão no recurso de destaque de pesquisa. A função `highlight()` retorna o texto subjacente diretamente quando nenhuma consulta de pesquisa é fornecida ou realiza uma substituição de regex para inserir tags `<mark>` sem escapar o conteúdo original. Como o resultado é processado por um sumidouro de renderização HTML, marcações maliciosas em dados de conversão podem ser interpretadas como HTML. Isso ocorre porque a aplicação falha em converter caracteres especiais em entidades HTML antes de inserir elementos de destaque.

Diversas operações de conta que alteram o estado são expostas como requisições GET, tornando-as suscetíveis a falsificação de requisição cross-site (CSRF). CSRF é uma falha onde um site de terceiros induz o navegador de uma vítima a enviar requisições autenticadas automaticamente para um servidor alvo. Os endpoints de API afetados são '/account/follow', '/account/delete notification', '/account/mark notification read' e '/account/mark all read'.

O software falha ao aplicar regras de controle de acesso ao nível de comentário durante a geração de exportações de relatórios de avaliação. Enquanto a recuperação normal de comentários filtra corretamente com base na visibilidade da conversão, privacidade, propriedade, autoria e privilégios administrativos, a função `build evaluation report()` inclui todos os comentários de avaliação, independentemente dessas regras. Isso permite que um usuário autorizado a visualizar uma conversão exporte relatórios nos formatos Markdown ou PDF e acesse comentários privados e nomes de autores destinados apenas ao proprietário da conversão, ao autor do comentário ou a um administrador.

Uma verificação de autorização incompleta ocorre no endpoint 'conversion-history details'. Quando um registro de histórico faz referência a uma conversão excluída, o sistema retorna um valor nulo durante a busca da conversão. Como a lógica original apenas negava o acesso se o objeto de conversão existisse e falhasse na verificação de visibilidade, as conversões excluídas ignoravam essa medida de segurança. Isso permite que um usuário capaz de solicitar uma entrada de histórico específica acesse os dados de entrada e saída retidos de conversões excluídas.

Existe um problema onde o endpoint de lista de seguidores de conta expõe os endereços de e-mail dos usuários. Quando um usuário autenticado segue outra conta, a função `get following()` inclui o campo `user.email` na resposta da API, juntamente com o nome, ID do usuário e data de seguimento. Um invasor autenticado poderia seguir usuários sistematicamente para coletar esses endereços de e-mail, pois essa informação não é necessária para a funcionalidade.

Um problema de cross-site scripting (XSS) armazenado existe no grafo de conversão usado para visualizar conteúdo MISP e STIX. Valores controlados por atacantes originados de dados CTI convertidos são passados para sinks de análise HTML na interface do usuário do grafo sem a neutralização suficiente. Especificamente, rótulos de nós, subrótulos de nós, rótulos de arestas, propriedades de nós, propriedades de arestas e tipos de nós podem conter HTML ou JavaScript manipulados. A biblioteca de grafo Pivotick renderiza esses valores por meio de operações de análise HTML, permitindo que elementos maliciosos com manipuladores de eventos sejam interpretados como marcação. Adicionalmente, a funcionalidade Open raw JSON utiliza `document.write()` com uma string HTML interpolada, permitindo que JSON manipulado injete marcação executável. Outros vetores existem no painel de propriedades do grafo, onde a função `tryResolveHTMLElement` processa valores de string usando `template.innerHTML`, levando à execução quando um nó do grafo é selecionado ou passa o mouse sobre ele.

Ocorre um cross-site scripting armazenado devido à neutralização insuficiente dos delimitadores de expressão de template do Vue em dados controlados pelo usuário e renderizados no servidor. Um invasor não autenticado pode injetar expressões maliciosas do Vue usando delimitadores `[[ ... ]]` no nome ou descrição de uma conversão pública, ou em nomes de perfil de usuário. Embora a codificação HTML do Jinja seja aplicada, o valor resultante é incluído em uma região do DOM compilada pelo Vue, que interpreta a entrada como uma expressão de template em vez de texto comum. Ao acessar o construtor de Função do JavaScript via `[].constructor.constructor(...)`, um invasor pode executar JavaScript arbitrário no contexto de segurança da origem do CTI-Transmute. Isso ignora a Política de Segurança de Conteúdo (CSP) baseada em nonce, pois o compilador de tempo de execução do Vue requer a exceção de política `unsafe-eval`. O payload é armazenado e executado sempre que um usuário ou administrador abre a página afetada, permitindo potencialmente o acesso a dados sensíveis, extração de chaves de API ou tokens, execução de ações autenticadas ou modificação de dados da aplicação.

Um problema de cross-site request forgery existe na funcionalidade de exclusão de usuários administrativos. O endpoint '/account/delete/<id>' aceitava requisições HTTP GET para operações que modificavam o estado da aplicação. Um atacante remoto não autenticado poderia induzir um administrador autenticado com uma sessão ativa a visitar um link malicioso, fazendo com que o navegador incluísse automaticamente as credenciais da sessão e excluísse uma conta de usuário selecionada sem confirmação. Isso poderia levar à exclusão não autorizada de contas de usuários arbitrários, resultando na negação de acesso para usuários ou interrupção da administração da instância. A exploração depende da variável `id` para especificar a conta alvo.

Um problema de server-side request forgery existe na funcionalidade de geração de PDF de relatórios de avaliação. Conteúdo de CTI controlado pelo usuário, como nomes de conversão, descrições e comentários, é convertido de Markdown para HTML e renderizado como PDF usando o WeasyPrint. O renderizador utilizava o comportamento padrão de busca de URL sem restringir protocolos ou destinos. Um invasor pode injetar referências de recursos manipuladas usando esquemas como `http://`, `https://` ou `file://`, permitindo que o servidor da aplicação busque recursos usando sua conectividade de rede e privilégios de sistema de arquivos. Isso pode levar ao acesso a serviços internos, sondagem de hosts internos, recuperação de arquivos locais legíveis pelo processo da aplicação ou exposição do conteúdo buscado dentro do PDF gerado.

Um problema de consumo descontrolado de recursos existe no endpoint não autenticado '/activity timeline'. O endpoint aceita um parâmetro de consulta `days` controlado pelo usuário que não possui uma restrição de intervalo razoável. Um invasor remoto não autenticado pode fornecer um valor excessivamente grande para este parâmetro, forçando a aplicação a recuperar e processar dados de atividade por um período arbitrariamente grande. Esta ação pode esgotar recursos de banco de dados, CPU ou memória, atrasar o processamento de requisições simultâneas ou causar erros internos no servidor, potencialmente degradando a disponibilidade do site.