Peter James

Um problema de cross-site request forgery (CSRF) existe na funcionalidade de edição rápida de grupos de compartilhamento. As ações `addOrg`, `removeOrg`, `addServer` e `removeServer` utilizam o auxiliar ` initialiseSGQuickEdit()`, onde a validação do método HTTP destinada a restringir as operações a requisições POST foi desativada. Consequentemente, essas ações de alteração de estado podem ser disparadas via requisições GET. Um invasor pode enganar um usuário autenticado com privilégios suficientes para clicar em um link malicioso, permitindo que o invasor modifique a composição dos grupos de compartilhamento ao adicionar ou remover organizações ou servidores. Isso pode resultar em acesso não autorizado a informações distribuídas ou na interrupção do compartilhamento legítimo de informações.

Um problema de cross-site request forgery (CSRF) ocorre porque o sistema desativa as proteções de segurança de formulário e CSRF se uma requisição for identificada como tráfego REST. Essa detecção pode ser manipulada por um atacante usando o cabeçalho HTTP Accept (ex: `Accept: application/json`), que pode ser enviado de uma página de origem cruzada sem a necessidade de um preflight CORS. Consequentemente, o sistema pode tratar uma requisição de um site malicioso como tráfego REST e ignorar as validações de segurança enquanto utiliza a sessão autenticada do navegador da vítima. Um atacante poderia enganar um usuário autenticado para visitar uma página maliciosa a fim de executar requisições de alteração de estado não autorizadas para endpoints suscetíveis, podendo levar à modificação, criação, publicação ou remoção não autorizada de dados. O problema origina-se na função ` isRest()`, que concede isenções de segurança com base no tipo de requisição em vez do mecanismo de autenticação.

Uma falha no fluxo de autenticação de senha de uso único (OTP) via e-mail permite que um invasor realize um número ilimitado de tentativas de verificação de OTP. O endpoint `email otp()` não aplica proteção contra força bruta ao validar os valores de OTP enviados. Um invasor que tenha passado a etapa de autenticação primária pode enviar repetidamente valores candidatos de OTP enquanto o mesmo OTP permanece válido, aumentando a probabilidade de adivinhar o código e burlar o segundo fator de autenticação para obter acesso não autorizado à conta. O problema é agravado pelo fato de o OTP estar vinculado ao usuário em vez de a uma sessão de login específica, permitindo que múltiplas sessões simultâneas tentem adivinhar o mesmo OTP válido.

Uma injeção de URL insegura e persistente existe na configuração do ButtonWidget do painel. O problema ocorre porque as URLs dos widgets do painel eram validadas apenas durante a renderização e não quando a configuração era salva. Isso permite que um usuário autenticado com permissões para modificar as configurações do painel persista valores de URL arbitrários, incluindo aqueles que utilizam o esquema `javascript:`. Se esses valores atingirem um caminho de renderização ou navegação que careça de validação em tempo de execução, isso poderá levar à execução de scripts no lado do cliente dentro do contexto de segurança da sessão do MISP. Isso poderia permitir que um invasor realize ações usando os privilégios do usuário afetado ou acesse informações específicas da sessão. Esta falha é caracterizada como uma lacuna de validação na camada de persistência e uma fraqueza de defesa em profundidade.

Um usuário autenticado com permissões para criar ou modificar modelos de eventos pode ignorar a validação do campo de definição do modelo. O método `EventTemplate::beforeValidate()` realiza a validação semântica apenas se a definição for um array; se for fornecida uma string pré-codificada contendo JSON malformado ou um tipo de dado inesperado, a validação `validateDefinition()` é ignorada e o valor é armazenado no banco de dados. Posteriormente, o método `EventTemplate::afterFind()` utiliza o `JsonTool::decode()` para recuperar a definição sem tratar falhas de decodificação. Isso pode disparar exceções e causar erros HTTP 500 para todos os usuários autenticados que acessarem o índice de modelos de eventos ou outras funcionalidades que dependam de consultas ao `EventTemplate`, resultando em uma negação de serviço persistente. Além disso, um JSON que represente um tipo inesperado pode levar a dados inválidos para consumidores downstream.

Um problema de fixação de sessão existe no fluxo de autenticação CustomAuth. O sistema armazena a identidade do usuário autenticado na sessão existente sem rotacionar o identificador da sessão. Isso permite que um invasor use um identificador de sessão previamente conhecido para sequestrar a sessão autenticada de uma vítima e obter os privilégios de sua conta. A falha ocorre porque a função ` customAuthentication()` grava o usuário na sessão CakePHP enquanto a chamada `Session->renew()` está desativada.

Um problema de falsificação de solicitação cross-site (CSRF) existe na ação `cullEmptyEvents`. O endpoint realiza uma operação irreversível de alteração de estado enquanto aceita solicitações HTTP GET. Como solicitações GET sem corpo ignoram a validação CSRF do CakePHP, um invasor pode enganar um usuário autenticado com privilégios suficientes para invocar o endpoint ao carregar uma URL manipulada. Isso resulta na exclusão de eventos vazios publicados usando `skipBlocklist`, o que impede a criação de entradas na blocklist e torna a exclusão irreversível e não rastreável durante a sincronização.