Elhoim

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Uma falha de autorização permite que um usuário autenticado envie um `sharing group id` sem a verificação de sua autorização para usar o Grupo de Compartilhamento referenciado. Em fluxos de trabalho de criação e edição de atributos e Galaxy Clusters, a validação era acionada apenas quando o campo de distribuição era explicitamente definido como 4 (Sharing Group). Ao omitir o parâmetro de distribuição ou evitar essa condição específica, um usuário pode ignorar a verificação de autorização. Isso permite que um usuário com permissões para criar ou modificar objetos MISP associe dados a um Grupo de Compartilhamento não autorizado, potencialmente ignorando limites de compartilhamento de informações e resultando na distribuição não autorizada de dados para outros membros do grupo. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Uma falha de autorização incorreta permite que usuários autenticados excluam atributos de eventos sem possuir as permissões `perm modify` ou `perm modify org` necessárias. O problema ocorre porque a função `MispAttribute::deleteAttribute()` realiza verificações de associação à organização, mas não aplica consistentemente as regras de autorização de modificação de eventos. Isso cria uma discrepância onde a edição de atributos é corretamente restringida via `ACL::canModifyEvent()`, mas as operações de exclusão podem ignorar essas verificações. Um invasor autenticado que seja membro da organização proprietária de um evento pode explorar isso para remover atributos individuais ou em massa, levando à modificação não autorizada ou perda de dados de inteligência de ameaças. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Existe uma falha de bypass de autenticação nos componentes de autenticação LDAP e LinOTP devido à validação insuficiente de credenciais fornecidas pelo usuário. Os componentes personalizados `LdapAuthenticate` e `LinOTPAuthenticate` não replicaram as verificações de validação de credenciais da implementação `FormAuthenticate` do CakePHP, permitindo que valores vazios ou que não sejam strings chegassem aos mecanismos de autenticação. No caminho LDAP, um invasor com o e-mail de um usuário válido do diretório poderia enviar uma senha vazia; se o servidor LDAP aceitar binds não autenticados através da função `ldap bind()`, o invasor poderia se passar pelo usuário. No componente LinOTP, tipos de credenciais inválidos não eram rejeitados e, quando a autenticação mista estava habilitada, senhas vazias podiam ser validadas contra hashes locais. Além disso, contas provisionadas via LDAP podiam ser criadas com senhas locais vazias, permitindo a autenticação através do mecanismo de fallback local caso a resolução LDAP falhasse. A exploração bem-sucedida permite que um invasor remoto não autenticado personifique usuários, potencialmente obtendo acesso administrativo a dados sensíveis de inteligência de ameaças e configurações do sistema. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Um problema de validação inadequada de certificado TLS existe no componente `CurlClient`. A propriedade `CurlClient::$verifyPeer` não era explicitamente inicializada, assumindo o valor padrão nulo, o que efetivamente desativava a verificação de pares TLS durante as operações cURL, a menos que fosse explicitamente habilitada pelo código de chamada. Isso permite que conexões HTTPS aceitem certificados não emitidos por uma autoridade certificadora confiável. Um ataque de man-in-the-middle poderia ser realizado por um invasor capaz de interceptar o tráfego de rede entre uma instância MISP e um serviço HTTPS remoto para personificar o endpoint. Isso poderia levar à observação de informações sensíveis, como material de autenticação e inteligência de ameaças, ou à modificação de respostas retornadas à instância MISP. **Recommendations** Aplique a correção disponível para habilitar a verificação de pares TLS por padrão e corrigir a manipulação de certificados autoassinados no componente `SyncTool`.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Existe uma falha de autorização no mecanismo de correlação OnDemand onde as correlações são calculadas apenas com base em valores de atributos correspondentes, ignorando restrições de distribuição, grupo de compartilhamento, organização e outros controles de acesso. Isso permite que um usuário autenticado com baixos privilégios receba resultados de correlação de atributos ou eventos aos quais não tem autorização de acesso, ao consultar ou criar atributos que se correlacionam com conteúdo restrito. O problema decorre do fato de o caminho de coleta de correlação não considerar o usuário solicitante e do uso de informações de controle de acesso desnormalizadas e potencialmente obsoletas em caminhos que dependem de dados de correlação armazenados. O sistema utiliza a função `fetchAttributesSimple()` para avaliar as restrições em relação aos dados em tempo real. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Um problema de Cross-Site Scripting (XSS) refletido existe no construtor de consultas de filtragem de atributos de eventos. Os parâmetros de URL `taggedAttributes` e `galaxyAttachedAttributes` são inseridos nas regras do construtor de consultas sem a devida codificação HTML antes de serem serializados como JSON e incorporados em um elemento `<script>`. Como a função `JsonTool::encode()` utiliza `JSON UNESCAPED SLASHES`, um valor controlado por um invasor contendo uma sequência de fechamento `</script>` pode encerrar o elemento de script e injetar HTML ou JavaScript arbitrário. Um invasor pode explorar isso convencendo um usuário autenticado a seguir uma URL manipulada, executando JavaScript malicioso no contexto de segurança da instância MISP e com os privilégios da sessão da vítima. Isso pode permitir o acesso a informações ou a modificação de dados com base nas permissões da vítima. **Recommendations** Aplique a codificação HTML utilizando a função `h()` tanto para valores escalares quanto para arrays antes que sejam inseridos no DOM. Como medida de mitigação temporária, evite o uso dos parâmetros `taggedAttributes` e `galaxyAttachedAttributes` no construtor de consultas de filtragem de atributos de eventos.