Iglocska

Existe uma falha de controle de acesso na lógica de visibilidade de propostas para atributos shadow. A verificação de autorização não valida o nível de distribuição, permitindo que qualquer usuário pertencente a um grupo de compartilhamento visualize propostas em atributos ou objetos associados a esse grupo, mesmo quando os níveis de distribuição 1-3 deveriam restringir tal visibilidade. Além disso, a organização proprietária tem o acesso negado a propostas em seus próprios atributos exclusivos da organização. Isso leva à divulgação não autorizada de alterações propostas em atributos.

Existe um erro de lógica no processo de sincronização de eventos durante a preparação de relatórios de eventos para push remoto. O sistema aplica a filtragem de tags não exportáveis apenas uma vez após a iteração de todos os relatórios, em vez de aplicá-la a cada relatório individualmente. Isso leva à divulgação de informações de tags restritas para a instância receptora em todos os relatórios, exceto no último. Além disso, se o último relatório for retido, um relatório nulo é enviado, o que impede que a instância remota salve o evento.

Um problema de cross-site scripting (XSS) refletido existe na interface do módulo de fluxo de trabalho. A aplicação renderiza nomes de parâmetros retornados pelo serviço misp-modules como rótulos de formulário HTML brutos sem codificação de saída. Um invasor capaz de influenciar esses nomes de parâmetros pode injetar HTML ou JavaScript arbitrário. Este script é executado na sessão do navegador de um usuário autenticado, podendo levar ao roubo de tokens de sessão, manipulação da interface ou ações não autorizadas.

O recurso de pré-visualização de eventos remotos permite a injeção de CSS quando um usuário visualiza um evento de um servidor vinculado. O problema ocorre porque o valor da cor das tags remotas é gravado em um atributo de estilo CSS inline sem a validação suficiente. Embora a codificação de entidades HTML seja aplicada, o valor ainda é interpretado como CSS, permitindo que um servidor vinculado malicioso ou comprometido injete declarações CSS arbitrárias. Um invasor que possa modificar tags em uma instância vinculada pode usar isso para realizar manipulação de interface do usuário, falsificação visual ou divulgação limitada de informações quando uma vítima visualiza a página de pré-visualização do evento remoto.

Uma falha no mecanismo de busca de configurações do servidor permite que usuários autenticados recuperem dados de configuração sensíveis que deveriam ter sido redigidos. A função de busca de configurações resolve nomes de configurações pontilhados em nós em uma árvore de configuração; no entanto, ao fornecer um nome de ramificação (como Security, MISP ou Plugin) em vez de uma configuração de folha específica, a função retorna a subárvore completa. Como os nós de ramificação não possuem uma flag de redação, a verificação de redação no endpoint de recuperação de configurações é ignorada. Isso expõe informações sensíveis, incluindo o salt de segurança, senhas de conexão Redis e chaves de API de plugins. Além disso, um endpoint usado para editar configurações do servidor similarmente retorna o armazenamento de configuração completo quando um nome de ramificação é resolvido.

Existe uma falha de integridade de dados na lógica de exclusão de eventos. Quando um usuário autenticado com privilégios suficientes exclui um evento, certos registros associados não são removidos do banco de dados, resultando em entradas órfãs. Os tipos de registros afetados incluem tags de relatório de evento, entradas de gráfico de evento, correlações de proposta (atributo shadow), chunks de correlação fuzzy ssdeep e resultados de varredura de anexo. Esses registros órfãos podem conter dados sensíveis de inteligência de ameaças, como mapeamentos de correlação, resultados de varredura e metadados de relatório. Essa persistência cria um risco de retenção não intencional de dados e potencial exposição de informações se os registros forem acessados por meio de outras consultas do aplicativo ou interfaces administrativas. Além disso, o acúmulo desses registros pode levar ao inchaço do armazenamento.

Existe um problema no tratamento das configurações de plugins de módulos onde o servidor descarta as flags `redacted` e `cli only` declaradas nos metadados de configuração de um módulo durante a reconstrução para consumo de API. Isso permite que um usuário autenticado com acesso às configurações do servidor visualize credenciais sensíveis, como chaves de API, através dos endpoints 'servers/getSetting' e 'servers/serverSettingsEdit'. Além disso, configurações destinadas a serem modificadas apenas via interface de linha de comando podem ser alteradas através da API web, ignorando as restrições de acesso pretendidas.

Existe uma condição de corrida no fluxo de login por senha de uso único (OTP) baseada em e-mail. Isso ocorre porque o valor do OTP é lido do armazenamento compartilhado, validado e excluído em etapas não atômicas separadas. Consequentemente, se duas solicitações HTTP usando o mesmo OTP válido forem enviadas simultaneamente, ambas podem se autenticar com sucesso e estabelecer sessões antes que a exclusão ocorra. Isso viola a garantia de uso único do OTP e pode facilitar o acesso não autorizado se um código for interceptado ou compartilhado.

Instâncias configuradas para exigir o registro de TOTP via `Security.otp required` aplicavam a autenticação de dois fatores obrigatória apenas a solicitações de navegador padrão. Usuários autenticados que ainda não haviam se registrado no TOTP poderiam ignorar essa exigência emitindo qualquer tipo de solicitação que não fosse de navegador, incluindo chamadas AJAX/XHR, solicitações de API REST, URLs no formato `.json`, consultas `restSearch` ou ações de automação. Isso ocorre porque essas solicitações legíveis por máquina não podem seguir o redirecionamento para a página de registro de TOTP, permitindo que o usuário mantenha acesso total à instância sem concluir a configuração do segundo fator.

Uma falha no fluxo de salvamento de eventos impede que o mecanismo de correlação recalcule as correlações quando o nível de distribuição ou o grupo de compartilhamento de um evento é modificado. Isso ocorre porque o hook before-save interno armazena os novos dados em vez dos valores persistidos anteriormente, fazendo com que a comparação after-save não detecte as alterações. Consequentemente, correlações obsoletas persistem, o que pode levar à divulgação não intencional de informações se um evento for movido para um grupo mais restritivo, ou à ausência de correlações relevantes se a distribuição for ampliada. Este problema requer um usuário autenticado com acesso de gravação para modificar os campos `distribution` ou `sharing group id`.

Existe uma falha de validação na lógica de sincronização de objetos. Quando um Objeto MISP é criado sem uma descrição, ele é armazenado corretamente na instância de origem, mas a regra de validação da instância receptora o rejeita durante a replicação porque o campo de descrição está vazio. Isso faz com que a instância receptora descarte silenciosamente o objeto e seus atributos associados, resultando na perda de dados de inteligência de ameaças e perda de integridade de dados em toda a topologia de sincronização. Isso pode ser acionado por qualquer usuário autorizado com privilégios de criação de objetos.

Configurações críticas de infraestrutura, especificamente os endereços de host do Redis usados pelo aplicativo principal, pelo plugin ZeroMQ e pelo plugin SimpleBackgroundJobs, são expostos através da interface web e da API para usuários administradores do site. Como os trabalhadores de tarefas em segundo plano confiam em cargas úteis brutas do Redis sem validação adicional, um invasor com uma sessão de administrador sequestrada pode redirecionar essas configurações para um servidor Redis controlado pelo invasor e reiniciar os trabalhadores. Isso permite a injeção de cargas úteis maliciosas, resultando na execução de comandos arbitrários na conta do trabalhador e potencial exfiltração de dados. Além disso, a configuração `download attachments on load`, que gerencia a renderização de anexos inline, pode ser modificada através da mesma interface, facilitando potencialmente ataques no lado do cliente.

A função `CakeResponse::download()` em `lib/Cake/Network/CakeResponse.php` não sanitiza nomes de arquivos fornecidos pelo usuário ao construir o cabeçalho Content-Disposition. Isso gera dois vetores de injeção: o uso de caracteres de controle C0 (CR ou LF) pode fazer com que o PHP descarte o cabeçalho Content-Disposition, resultando na renderização do corpo da resposta diretamente no navegador, e o uso de aspas duplas pode encerrar prematuramente o valor da string citada para injetar parâmetros de cabeçalho adicionais. Um usuário autenticado pode fazer o upload de um anexo com um nome de arquivo manipulado que, ao ser visualizado por outro usuário autenticado, permite a manipulação de cabeçalhos e a execução de HTML ou JavaScript arbitrário. Esta condição possibilita o cross-site scripting armazenado, que pode levar ao sequestro de sessão, exfiltração de dados e ações não autorizadas.

Um problema de cross-site scripting (XSS) existe no visualizador de objetos TAXII. A aplicação renderiza o conteúdo JSON de propriedades de string diretamente em um bloco pre HTML sem a devida codificação HTML ao exibir um objeto TAXII remoto. Um invasor capaz de influenciar o conteúdo de um objeto TAXII, como ao publicar um objeto malicioso em um servidor TAXII ao qual a instância da vítima está inscrita, pode injetar HTML ou JavaScript arbitrário. Este script é executado no contexto da sessão do usuário autenticado, podendo levar ao roubo de tokens de sessão, chaves de API ou outros dados sensíveis, além de permitir a realização de ações em nome do usuário.

O recurso ID Translator contém uma falha de cross-site scripting (XSS). Quando um usuário acessa a página do ID Translator, a aplicação recupera identificadores de eventos de servidores remotos vinculados. Como a aplicação não codifica adequadamente o ID do evento retornado pelo servidor remoto antes de renderizá-lo na saída HTML, um servidor vinculado comprometido ou malicioso pode fornecer um ID de evento manipulado contendo HTML ou JavaScript arbitrário. Isso permite a execução de scripts no navegador de um usuário autenticado, podendo levar ao sequestro de sessão ou roubo de credenciais.

Um problema de cross-site scripting (XSS) armazenado existe na renderização da tabela de índice da pré-visualização de eventos remotos. O template do campo de contagem não aplica a codificação HTML ao valor do campo, embora escape a URL do link associado. Um invasor com permissões para criar ou modificar eventos em um servidor MISP remoto vinculado pode criar um identificador de evento contendo marcações HTML ou JavaScript. Quando um usuário na instância local visualiza o índice de pré-visualização do evento remoto, o valor não codificado é renderizado no navegador, permitindo a execução de scripts arbitrários. Isso pode levar ao sequestro de sessão, exfiltração de dados ou ações não autorizadas realizadas como o usuário autenticado.

Existe um controle de acesso inadequado nos endpoints de busca de atributos e de visualização paginada de atributos. Quando um usuário autenticado com acesso de leitura a um evento pertencente a outra organização pesquisa por atributos excluídos logicamente (soft-deleted), a aplicação revela esses atributos. Embora a visualização de detalhes do evento restrinja corretamente a visibilidade de atributos excluídos à organização proprietária e a usuários com permissões de sincronização, os caminhos de código de busca e visualização paginada carecem dessa restrição. Isso pode levar à divulgação não autorizada de atributos de inteligência de ameaças sensíveis, como indicadores de comprometimento (IOCs) e contexto, que a organização proprietária pretendia remover da visibilidade geral.

Existe uma falha de autorização no tratamento de correlações durante a pesquisa de atributos. O sistema concede acesso a atributos e eventos correlacionados usando um snapshot de distribuição desatualizado armazenado na linha de correlação, em vez da lista de controle de acesso de eventos em tempo real. Como as colunas de distribuição na linha de correlação são cópias de um ponto no tempo que carecem de uma flag de publicação, as verificações de autorização tornam-se incorretas quando um evento é restringido, como quando é despublicado ou seu grupo de compartilhamento é modificado. Isso permite que um usuário autenticado com acesso de leitura a alguns eventos recupere atributos e metadados de eventos que ele não tem mais permissão para visualizar.

Existe uma falha de bypass de autorização na funcionalidade de listagem de eventos relacionados. Quando um usuário solicita a lista de eventos correlacionados a um evento específico, o sistema recupera os metadados diretamente da tabela de correlação sem revalidar os direitos de acesso do solicitante para cada evento relacionado. Como a tabela de correlação utiliza um snapshot do nível de distribuição e do grupo de compartilhamento do momento da criação e não possui a flag de publicação, metadados como títulos, datas e contagens de valores correlacionados podem ser expostos para eventos que não foram publicados ou que tiveram suas restrições de acesso atualizadas. Isso permite que um usuário autenticado com acesso a pelo menos um evento realize reconhecimento de nomes de eventos de inteligência de ameaças e cronogramas entre diferentes grupos de compartilhamento.

Existe uma validação de entrada inadequada na funcionalidade de importação de modelos de decaimento. O endpoint de importação foi projetado para criar um novo modelo de decaimento restrito à organização do usuário que realiza a importação, com a flag de padrão desativada. No entanto, a aplicação removeu apenas os campos `id` e `uuid` de nível superior e fixou `org id` e `default` no array externo. Um usuário autenticado com permissões `perm decaying` poderia fornecer uma chave de modelo aninhada contendo sua própria chave primária, identificador de organização e flag de padrão para ignorar essas restrições durante a operação de salvamento. Isso poderia permitir que um usuário sobrescrevesse modelos de decaimento existentes de outras organizações, modificasse modelos marcados como padrões da organização para afetar o comportamento de pontuação ou reatribuísse a organização de um modelo para um valor arbitrário.