Elhoim

The sourcecache expansion module in MISP Modules (misp-modules) contains a Server-Side Request Forgery (SSRF) vulnerability. When a user with permission to create or modify attributes of type 'link' or 'url' submits an attribute value, the module passes the URL directly to its internal archiving function without any validation of the target address. An attacker can therefore craft a URL pointing to loopback addresses (e.g., 127.0.0.1), private network ranges, link-local addresses, or cloud metadata endpoints (e.g., 169.254.169.254). The MISP server will issue an HTTP request to that target and store the response body in the event, effectively exfiltrating data from internal services to the attacker through the MISP interface. Non-HTTP schemes such as file:// are also accepted, potentially allowing local file disclosure. The vulnerability requires an authenticated MISP user with the ability to create or edit attributes of the affected types. The security impact is information disclosure from internal services reachable by the MISP server, including sensitive data such as cloud credentials, internal application data, or local files.

A SQL injection vulnerability exists in a database migration script in flowintel. The migration process reads stored connector identifier values from the database and interpolates them directly into SQL statements without parameterization. An attacker who has previously written a malicious identifier value into the affected tables can cause arbitrary SQL execution when the migration is subsequently run during an application upgrade. - Requires prior write access to the database to plant a malicious identifier value - Triggered automatically during a migration or upgrade operation - Can result in unauthorized data disclosure, modification, or deletion Affected versions: flowintel prior to 4.0.0

O módulo de expansão `html to markdown` contém um problema de server-side request forgery (SSRF) na função `is safe url()`. A lista `BLOCKED RANGES` utilizada para validar os endereços de destino estava incompleta, não bloqueando várias faixas de IP críticas, incluindo 0.0.0.0/8, 100.64.0.0/10, ::/128, fc00::/7 e fe80::/10. Além disso, formatos IPv6 mapeados para IPv4 ignoraram as verificações de validação. Um usuário autenticado com permissão para criar ou modificar atributos que acionem este módulo pode fornecer URLs apontando para essas faixas internas. Como o servidor busca o conteúdo para converter HTML em Markdown, ele pode ser abusado como um proxy para sondar e ler respostas de serviços internos, infraestrutura de NAT de nível de operadora ou endpoints de link-local que, de outra forma, seriam inacessíveis a partir de redes externas.

Existe um erro de lógica no processo de sincronização de eventos durante a preparação de relatórios de eventos para push remoto. O sistema aplica a filtragem de tags não exportáveis apenas uma vez após a iteração de todos os relatórios, em vez de aplicá-la a cada relatório individualmente. Isso leva à divulgação de informações de tags restritas para a instância receptora em todos os relatórios, exceto no último. Além disso, se o último relatório for retido, um relatório nulo é enviado, o que impede que a instância remota salve o evento.

Existe uma falha de controle de acesso na lógica de visibilidade de propostas para atributos shadow. A verificação de autorização não valida o nível de distribuição, permitindo que qualquer usuário pertencente a um grupo de compartilhamento visualize propostas em atributos ou objetos associados a esse grupo, mesmo quando os níveis de distribuição 1-3 deveriam restringir tal visibilidade. Além disso, a organização proprietária tem o acesso negado a propostas em seus próprios atributos exclusivos da organização. Isso leva à divulgação não autorizada de alterações propostas em atributos.

Existe uma falha de autorização no tratamento de correlações durante a pesquisa de atributos. O sistema concede acesso a atributos e eventos correlacionados usando um snapshot de distribuição desatualizado armazenado na linha de correlação, em vez da lista de controle de acesso de eventos em tempo real. Como as colunas de distribuição na linha de correlação são cópias de um ponto no tempo que carecem de uma flag de publicação, as verificações de autorização tornam-se incorretas quando um evento é restringido, como quando é despublicado ou seu grupo de compartilhamento é modificado. Isso permite que um usuário autenticado com acesso de leitura a alguns eventos recupere atributos e metadados de eventos que ele não tem mais permissão para visualizar.

Existe um controle de acesso inadequado nos endpoints de busca de atributos e de visualização paginada de atributos. Quando um usuário autenticado com acesso de leitura a um evento pertencente a outra organização pesquisa por atributos excluídos logicamente (soft-deleted), a aplicação revela esses atributos. Embora a visualização de detalhes do evento restrinja corretamente a visibilidade de atributos excluídos à organização proprietária e a usuários com permissões de sincronização, os caminhos de código de busca e visualização paginada carecem dessa restrição. Isso pode levar à divulgação não autorizada de atributos de inteligência de ameaças sensíveis, como indicadores de comprometimento (IOCs) e contexto, que a organização proprietária pretendia remover da visibilidade geral.

O módulo `cisco firesight manager ACL rule export` gera um script de shell (.sh) que se autentica e chama a API do Cisco fireSIGHT Manager. O módulo interpola valores de configuração e valores de atributos do MISP — como IPs de destino, URLs e comentários de informações de eventos — diretamente em atribuições de strings de shell entre aspas simples, sem escape ou sanitização. Um invasor pode injetar comandos de shell arbitrários enviando eventos ou atributos do MISP que contenham um caractere de aspa simples, quebrando o contexto de citação. Um analista de segurança que execute o script resultante executaria esses comandos com seus próprios privilégios, podendo comprometer sua estação de trabalho ou expor credenciais do Cisco fireSIGHT Manager. Além disso, o módulo apresenta um defeito onde a variável `config` é referenciada incondicionalmente, apesar de ser atribuída apenas dentro de um bloco condicional, resultando em um NameError e causando a negação de serviço quando a carga útil da requisição carece de uma chave `config`.

Os plugins de autenticação LdapAuth e LinOTPAuth contêm uma falha de bypass de autenticação. As funções `LdapAuthenticate` e `LinOTPAuthenticate` não implementam a guarda de validação de entrada ` checkFields()`, permitindo que os campos de e-mail e senha das solicitações de login sejam processados sem verificar se são strings não vazias. No autenticador LDAP, uma senha vazia ou nula é enviada para `ldap bind()`, o que pode ser aceito como um bind não autenticado bem-sucedido por muitos servidores de diretório LDAP. Isso permite que um invasor com um endereço de e-mail de usuário válido se autentique sem senha. Valores que não sejam strings também podem causar TypeErrors ou ser mal interpretados em ` findUser()`. No autenticador LinOTP, credenciais que não sejam strings podem ser concatenadas em solicitações de verificação, e senhas vazias podem ser aceitas contra hashes armazenados de strings vazias. Além disso, contas LDAP provisionadas automaticamente podem receber e armazenar um hash de uma senha vazia, permitindo o acesso via fallback de autenticação mista se o usuário não estiver mais no LDAP. A exploração requer que o plugin afetado esteja habilitado e o conhecimento de um endereço de e-mail válido, concedendo ao invasor os privilégios totais do usuário impersonado.

Uma falha de autorização permite que um usuário autenticado envie um `sharing group id` sem a verificação de sua autorização para usar o Grupo de Compartilhamento referenciado. Em fluxos de trabalho de criação e edição de atributos e Galaxy Clusters, a validação era acionada apenas quando o campo de distribuição era explicitamente definido como 4 (Sharing Group). Ao omitir o parâmetro de distribuição ou evitar essa condição específica, um usuário pode ignorar a verificação de autorização. Isso permite que um usuário com permissões para criar ou modificar objetos MISP associe dados a um Grupo de Compartilhamento não autorizado, potencialmente ignorando limites de compartilhamento de informações e resultando na distribuição não autorizada de dados para outros membros do grupo.

Uma falha de autorização incorreta permite que usuários autenticados excluam atributos de eventos sem possuir as permissões `perm modify` ou `perm modify org` necessárias. O problema ocorre porque a função `MispAttribute::deleteAttribute()` realiza verificações de associação à organização, mas não aplica consistentemente as regras de autorização de modificação de eventos. Isso cria uma discrepância onde a edição de atributos é corretamente restringida via `ACL::canModifyEvent()`, mas as operações de exclusão podem ignorar essas verificações. Um invasor autenticado que seja membro da organização proprietária de um evento pode explorar isso para remover atributos individuais ou em massa, levando à modificação não autorizada ou perda de dados de inteligência de ameaças.

Um problema de validação inadequada de certificado TLS existe no componente `CurlClient`. A propriedade `CurlClient::$verifyPeer` não era explicitamente inicializada, assumindo o valor padrão nulo, o que efetivamente desativava a verificação de pares TLS durante as operações cURL, a menos que fosse explicitamente habilitada pelo código de chamada. Isso permite que conexões HTTPS aceitem certificados não emitidos por uma autoridade certificadora confiável. Um ataque de man-in-the-middle poderia ser realizado por um invasor capaz de interceptar o tráfego de rede entre uma instância MISP e um serviço HTTPS remoto para personificar o endpoint. Isso poderia levar à observação de informações sensíveis, como material de autenticação e inteligência de ameaças, ou à modificação de respostas retornadas à instância MISP.

Existe uma falha de bypass de autenticação nos componentes de autenticação LDAP e LinOTP devido à validação insuficiente de credenciais fornecidas pelo usuário. Os componentes personalizados `LdapAuthenticate` e `LinOTPAuthenticate` não replicaram as verificações de validação de credenciais da implementação `FormAuthenticate` do CakePHP, permitindo que valores vazios ou que não sejam strings chegassem aos mecanismos de autenticação. No caminho LDAP, um invasor com o e-mail de um usuário válido do diretório poderia enviar uma senha vazia; se o servidor LDAP aceitar binds não autenticados através da função `ldap bind()`, o invasor poderia se passar pelo usuário. No componente LinOTP, tipos de credenciais inválidos não eram rejeitados e, quando a autenticação mista estava habilitada, senhas vazias podiam ser validadas contra hashes locais. Além disso, contas provisionadas via LDAP podiam ser criadas com senhas locais vazias, permitindo a autenticação através do mecanismo de fallback local caso a resolução LDAP falhasse. A exploração bem-sucedida permite que um invasor remoto não autenticado personifique usuários, potencialmente obtendo acesso administrativo a dados sensíveis de inteligência de ameaças e configurações do sistema.

Existe uma falha de autorização no mecanismo de correlação OnDemand onde as correlações são calculadas apenas com base em valores de atributos correspondentes, ignorando restrições de distribuição, grupo de compartilhamento, organização e outros controles de acesso. Isso permite que um usuário autenticado com baixos privilégios receba resultados de correlação de atributos ou eventos aos quais não tem autorização de acesso, ao consultar ou criar atributos que se correlacionam com conteúdo restrito. O problema decorre do fato de o caminho de coleta de correlação não considerar o usuário solicitante e do uso de informações de controle de acesso desnormalizadas e potencialmente obsoletas em caminhos que dependem de dados de correlação armazenados. O sistema utiliza a função `fetchAttributesSimple()` para avaliar as restrições em relação aos dados em tempo real.

Um problema de Cross-Site Scripting (XSS) refletido existe no construtor de consultas de filtragem de atributos de eventos. Os parâmetros de URL `taggedAttributes` e `galaxyAttachedAttributes` são inseridos nas regras do construtor de consultas sem a devida codificação HTML antes de serem serializados como JSON e incorporados em um elemento `<script>`. Como a função `JsonTool::encode()` utiliza `JSON UNESCAPED SLASHES`, um valor controlado por um invasor contendo uma sequência de fechamento `</script>` pode encerrar o elemento de script e injetar HTML ou JavaScript arbitrário. Um invasor pode explorar isso convencendo um usuário autenticado a seguir uma URL manipulada, executando JavaScript malicioso no contexto de segurança da instância MISP e com os privilégios da sessão da vítima. Isso pode permitir o acesso a informações ou a modificação de dados com base nas permissões da vítima.