Jeroen Pinoy

Um problema de cross-site scripting (XSS) refletido existe na interface do módulo de fluxo de trabalho. A aplicação renderiza nomes de parâmetros retornados pelo serviço misp-modules como rótulos de formulário HTML brutos sem codificação de saída. Um invasor capaz de influenciar esses nomes de parâmetros pode injetar HTML ou JavaScript arbitrário. Este script é executado na sessão do navegador de um usuário autenticado, podendo levar ao roubo de tokens de sessão, manipulação da interface ou ações não autorizadas.

Uma falha no mecanismo de busca de configurações do servidor permite que usuários autenticados recuperem dados de configuração sensíveis que deveriam ter sido redigidos. A função de busca de configurações resolve nomes de configurações pontilhados em nós em uma árvore de configuração; no entanto, ao fornecer um nome de ramificação (como Security, MISP ou Plugin) em vez de uma configuração de folha específica, a função retorna a subárvore completa. Como os nós de ramificação não possuem uma flag de redação, a verificação de redação no endpoint de recuperação de configurações é ignorada. Isso expõe informações sensíveis, incluindo o salt de segurança, senhas de conexão Redis e chaves de API de plugins. Além disso, um endpoint usado para editar configurações do servidor similarmente retorna o armazenamento de configuração completo quando um nome de ramificação é resolvido.

Um problema de cross-site scripting (XSS) existe no visualizador de objetos TAXII. A aplicação renderiza o conteúdo JSON de propriedades de string diretamente em um bloco pre HTML sem a devida codificação HTML ao exibir um objeto TAXII remoto. Um invasor capaz de influenciar o conteúdo de um objeto TAXII, como ao publicar um objeto malicioso em um servidor TAXII ao qual a instância da vítima está inscrita, pode injetar HTML ou JavaScript arbitrário. Este script é executado no contexto da sessão do usuário autenticado, podendo levar ao roubo de tokens de sessão, chaves de API ou outros dados sensíveis, além de permitir a realização de ações em nome do usuário.

O recurso ID Translator contém uma falha de cross-site scripting (XSS). Quando um usuário acessa a página do ID Translator, a aplicação recupera identificadores de eventos de servidores remotos vinculados. Como a aplicação não codifica adequadamente o ID do evento retornado pelo servidor remoto antes de renderizá-lo na saída HTML, um servidor vinculado comprometido ou malicioso pode fornecer um ID de evento manipulado contendo HTML ou JavaScript arbitrário. Isso permite a execução de scripts no navegador de um usuário autenticado, podendo levar ao sequestro de sessão ou roubo de credenciais.

Um problema de cross-site scripting (XSS) armazenado existe na renderização da tabela de índice da pré-visualização de eventos remotos. O template do campo de contagem não aplica a codificação HTML ao valor do campo, embora escape a URL do link associado. Um invasor com permissões para criar ou modificar eventos em um servidor MISP remoto vinculado pode criar um identificador de evento contendo marcações HTML ou JavaScript. Quando um usuário na instância local visualiza o índice de pré-visualização do evento remoto, o valor não codificado é renderizado no navegador, permitindo a execução de scripts arbitrários. Isso pode levar ao sequestro de sessão, exfiltração de dados ou ações não autorizadas realizadas como o usuário autenticado.

Um problema de cross-site scripting (XSS) existe na página de pré-visualização de eventos remotos. Quando um servidor remoto vinculado é configurado, a pré-visualização do evento renderiza identificadores de tags dentro de um atributo onclick de JavaScript inline. Embora o valor do ID da tag seja escapado em HTML, ele não é sanitizado para o contexto de string do JavaScript. Isso permite que um servidor vinculado malicioso forneça um ID de tag contendo caracteres, como aspas simples, que quebrem a literal de string do JavaScript para injetar scripts arbitrários. Isso pode levar à execução de JavaScript arbitrário na sessão do navegador de um usuário autenticado que interaja com o elemento de tag afetado, resultando potencialmente em sequestro de sessão, exfiltração de dados ou ações não autorizadas.

Existe uma validação de entrada inadequada na funcionalidade de importação de modelos de decaimento. O endpoint de importação foi projetado para criar um novo modelo de decaimento restrito à organização do usuário que realiza a importação, com a flag de padrão desativada. No entanto, a aplicação removeu apenas os campos `id` e `uuid` de nível superior e fixou `org id` e `default` no array externo. Um usuário autenticado com permissões `perm decaying` poderia fornecer uma chave de modelo aninhada contendo sua própria chave primária, identificador de organização e flag de padrão para ignorar essas restrições durante a operação de salvamento. Isso poderia permitir que um usuário sobrescrevesse modelos de decaimento existentes de outras organizações, modificasse modelos marcados como padrões da organização para afetar o comportamento de pontuação ou reatribuísse a organização de um modelo para um valor arbitrário.

Um problema de cross-site scripting (XSS) refletido existe no painel de notas de dados do analista. O parâmetro de caminho `seed`, fornecido pelo usuário via URL, é passado diretamente para o JavaScript inline na resposta HTML sem sanitização ou imposição de tipo. Um invasor pode convencer um usuário autenticado a visitar uma URL manipulada, permitindo a execução de JavaScript arbitrário no contexto do navegador da vítima. Isso pode levar ao roubo de tokens de sessão, manipulação da página ou ações não autorizadas realizadas em nome do usuário.

Um problema de validação inadequada de entrada existe no caminho de salvamento do ORM. Ao enviar dados através de endpoints como adição/edição de atributos, edição de eventos, importação de texto livre, captura de avistamentos, proposta de atributo sombra, criação de relatório de evento, adição de referência de objeto e edição de administrador de usuário, a aplicação sanitiza os registros removendo a chave primária e fixando o `event id` ou `object id` ao contexto do chamador. No entanto, o método `set()` do ORM prioriza uma chave aninhada que corresponde ao alias do modelo, ignorando os campos escalares externos. Um usuário autenticado com permissões básicas de escrita pode inserir um bloco aninhado sob a chave de alias do modelo para ignorar a sanitização, permitindo o uso de um `id` e `event id` escolhidos pelo atacante. Isso pode levar ao comprometimento da integridade dos dados entre locatários, permitindo a sobrescrita, re-parentalização ou exclusão lógica de linhas pertencentes a outras organizações ou eventos, afetando tipos de entidades incluindo Attribute, Object, EventReport, Sighting, AttributeTag e ShadowAttribute.

Um problema de cross-site scripting (XSS) armazenado existe no caminho de processamento de ícones de galáxias. O campo `icon` de um objeto de galáxia é armazenado sem validação no lado do servidor através dos endpoints de adição, edição e captura de sincronização/importação de galáxias. Esse valor armazenado é posteriormente concatenado diretamente na marcação HTML pelos scripts de renderização de gráfico de correlação baseados em D3, tanto no tema padrão quanto no Overmind, utilizando o método `.html()`. Um usuário com a permissão `perm galaxy editor` pode injetar HTML ou JavaScript arbitrário no campo `icon`, que será executado na sessão do navegador de qualquer usuário que abrir o gráfico de correlação de um evento contendo um cluster pertencente a essa galáxia. Isso pode resultar no roubo de credenciais de sessão, manipulação de dados exibidos ou início de ações em nome da vítima.

Ocorre cross-site scripting (XSS) armazenado porque o campo de origem de um Galaxy Cluster é renderizado como um hiperlink clicável se o valor passar pela validação `FILTER VALIDATE URL` do PHP. Como essa validação aceita o esquema de URI `javascript:`, um usuário com privilégios de editor de galáxia pode armazenar um script malicioso como a origem do cluster. Quando outro usuário clica no link, o script é executado no contexto do navegador da vítima, podendo levar ao sequestro de sessão, exfiltração de dados ou ações não autorizadas.

Um problema de escalonamento de privilégios existe na funcionalidade de criação e edição de coleções de tags. O sistema aceita o payload completo da requisição HTTP e o passa para uma operação de salvamento de associação em massa, que grava tanto o registro de coleção de tags pretendido quanto quaisquer outros dados de modelo associados incluídos no payload. Um usuário autenticado com a permissão `perm tag editor` pode criar uma requisição contendo dados de modelo adicionais, como registros de Usuário ou Organização. Como a operação de salvamento processa todos os modelos associados indiscriminadamente, esses registros injetados são gravados no banco de dados, permitindo que o invasor crie ou modifique contas privilegiadas e escale seus privilégios para administrador do site.

Um problema de atribuição em massa (mass assignment) existe no recurso de delegação de eventos. Quando um usuário com permissões de delegação envia uma solicitação, a aplicação valida o usuário em relação ao evento na URL, mas persiste todo o registro enviado, incluindo campos fornecidos pelo chamador, como a chave primária e o `event id`. Um invasor autenticado com a permissão `perm delegate` pode injetar uma chave primária ou `event id` no payload de delegação para redirecionar um registro de delegação existente para qualquer evento na instância. Isso permite o acesso de leitura não autorizado a eventos pertencentes a outras organizações. Se a organização alvo aceitar a delegação, a propriedade do evento é transferida e o registro original é excluído. Isso requer que a configuração de servidor `MISP.delegation` esteja habilitada.

A página de domínio splash do crawler `showDomain.html` é suscetível a injeção de script entre sites (XSS) armazenada. Isso ocorre porque dados fornecidos pelo usuário originados de capturas de crawler importadas—especificamente `item IDs`, `URLs` e caminhos de arquivos de captura de tela—são interpolados diretamente em contextos JavaScript inline dentro do modelo HTML. O problema se manifesta em um atributo `onclick` que incorpora valores brutos de captura de tela e URL em uma chamada de função JavaScript, bem como em um bloco de script inline que atribui um valor de captura de tela a uma variável JavaScript sem a devida filtragem. Um invasor com um cliente de API com função de usuário pode importar capturas de crawler maliciosas contendo payloads de JavaScript. Quando um usuário visualiza a página de domínio afetada, o script é executado no contexto do navegador, o que pode levar ao sequestro de sessão, exfiltração de dados ou ações não autorizadas.

A API de criação de tarefas do crawler 'api add crawler task' contém uma verificação de autorização insuficiente quando um usuário fornece um UUID de cookiejar para uma tarefa de crawler única ou agendada. O sistema falha ao validar os limites organizacionais ou a função do usuário solicitante. Especificamente, se o nível de acesso do cookiejar não for 0, nenhuma verificação de acesso é realizada; se for 0, o sistema apenas compara o ID do usuário proprietário com o ID do usuário solicitante. Um usuário autenticado com a capacidade de criar tarefas de crawler que conheça ou adivinhe um UUID de cookiejar válido de outra organização pode forçar o crawler a usar os cookies armazenados dessa organização, como tokens de sessão e credenciais de autenticação, levando à exfiltração de dados de sessão.

Um problema de cross-site scripting (XSS) armazenado existe em dois templates Jinja2 usados para renderizar popovers de conteúdo correspondente, rastreado ou marcado: `var/www/templates/chats explorer/block message.html` e `var/www/templates/objects/item/show item.html`. Valores dinâmicos como `icon color`, `icon style`, `icon glyph`, `subtype`, `identifier`, `name`, `description` e `matched value` são inseridos no atributo HTML `data-content` de elementos popover do Bootstrap sem a codificação de saída adequada. Como esses popovers utilizam `data-html="true"`, o navegador interpreta o conteúdo como HTML. Um invasor autenticado capaz de influenciar esse conteúdo pode injetar HTML ou JavaScript arbitrário, que é executado na sessão de uma vítima ao visualizar o popover, potencialmente permitindo a exfiltração de dados ou ações não autorizadas com os privilégios da vítima.

O componente de seleção de tags localizado em `var/www/static/js/tags.js` é suscetível a cross-site scripting (XSS) armazenado. Um usuário autenticado com permissões para criar tags personalizadas pode incorporar payloads HTML contendo manipuladores de eventos JavaScript dentro do nome de uma tag. O problema ocorre porque a função ` renderComboItems` e a lógica de renderização de tags selecionadas passam o valor de `displayField` diretamente para a propriedade `html` do jQuery, que insere a string como HTML bruto no Document Object Model (DOM) em vez de tratá-la como texto simples. Isso permite a execução de JavaScript arbitrário no navegador de qualquer usuário autenticado que visualize uma página que renderize a tag maliciosa, podendo levar ao sequestro de sessão, acesso não autorizado a dados ou manipulação de formulários.

O recurso de linha do tempo de nomes de usuário é suscetível a cross-site scripting (XSS) armazenado. Nomes de usuário importados de chats e fóruns rastreados são armazenados sem restrições de caracteres. Quando um analista autenticado passa o mouse sobre uma entrada da linha do tempo, a aplicação renderiza o nome de usuário armazenado no Document Object Model (DOM) usando o método `html()` do D3 na dica de ferramenta (tooltip). Como a variável `d.obj` é interpolada diretamente em uma string HTML sem sanitização, um nome de usuário manipulado contendo manipuladores de eventos HTML pode executar JavaScript arbitrário no navegador do analista. Este problema reside no arquivo JavaScript do lado do cliente `var/www/static/js/d3/timeline basic.js`. A exploração bem-sucedida pode resultar em sequestro de sessão, exfiltração de dados ou ações não autorizadas dentro da sessão autenticada.

O módulo Onion contém uma falha em sua lógica de extração de URL devido a um atalho de desempenho. O sistema valida alvos .onion utilizando apenas uma verificação de comprimento de exatamente 69 caracteres e uma verificação de sufixo para ".onion", omitindo a análise adequada do nome do host ou a validação do domínio onion. Um invasor não autenticado pode incorporar uma URL manipulada contendo um endereço IP ou um nome de host não-onion com um caminho terminando em ".onion" em conteúdo rastreado pelo framework. Isso permite a injeção de alvos arbitrários não-onion na fila de tarefas do crawler, potencialmente direcionando o framework para recursos de rede indesejados e comprometendo a integridade da seleção de alvos.

A visualização de eventos Overmind enriquece eventos com o relatório anexo mais recente para fins de pré-visualização. A lógica de enriquecimento recupera os relatórios utilizando apenas o ID do evento, sem aplicar as restrições de distribuição ou a Lista de Controle de Acesso (ACL) específicas do relatório. Como os relatórios podem ter configurações de distribuição mais restritivas do que os eventos pai, um usuário autenticado com acesso de leitura a um evento pode visualizar relatórios que o excluem explicitamente. Além disso, a consulta não filtra relatórios excluídos logicamente (soft-deleted), permitindo a recuperação de relatórios que foram removidos administrativamente, resultando na divulgação não autorizada de conteúdo de inteligência de ameaças.