Уязвимость в misp-stix может позволить созданному документу STIX повлиять на чувствительные к безопасности метаданные атрибута MISP во время импорта. Логика импорта STIX автоматически выбирает между внутренним анализатором MISP и внешним анализатором STIX на основе метаданных, содержащихся в самом документе STIX. Для STIX2 наличие меток инструментов, специфичных для MISP, может привести к тому, что документ будет классифицирован как исходящий от MISP; аналогичным образом STIX1 полагался на заголовок документа.
Эти индикаторы классификации полностью контролируются производителем STIX и поэтому не могут служить надежным указанием происхождения документа. Сопровождающее исправление явно отмечает, что выбор синтаксического анализатора ранее основывался исключительно на метках или заголовках, которые мог написать любой производитель, и вводит явный параметр классификации, позволяющий вызывающим сторонам переопределить это обнаружение. Когда содержимое STIX2 обрабатывалось как внутренний экспорт MISP, атрибуты, содержащиеся в объекте x-misp, были преобразованы путем копирования полного словаря x_misp_attributes и передачи его непосредственно в misp_object.add_attribute().
Следовательно, созданный пакет STIX может предоставлять поля, которые не были частью ожидаемого двустороннего формата STIX-MISP, включая чувствительные к безопасности свойства, такие как распространение,share_group_id, теги или другие поля атрибутов MISP. Таким образом, злоумышленник, способный предоставить документ STIX для импорта, может подделать маркеры, используемые для идентификации контента, созданного MISP, и внедрить дополнительные свойства атрибутов. Это может изменить распространение, ограничения совместного использования, классификацию или семантические метаданные импортированных атрибутов, что потенциально может привести к распространению информации вопреки политике импортирующей организации или повлиять на последующую обработку и автоматизацию на основе тегов или метаданных, контролируемых злоумышленником.
Уязвимость возникает в результате динамического назначения свойств объекта, предоставляемых извне, без ограничения их ожидаемым набором атрибутов, соответствующих CWE-915. MITRE конкретно описывает эту слабость как принятие полей, находящихся под внешним влиянием, без контроля над тем, какие атрибуты объекта могут быть изменены, и рекомендует список разрешений, который и является подходом, реализованным в патче. Проблема выбора анализатора дополнительно соответствует CWE-807, поскольку для принятия решения о доверии/классификации, связанного с безопасностью, использовалось недоверенное значение. Атака также соответствует CAPEC-153 (манипуляция входными данными), в которой злоумышленник контролирует структуру или флаги предоставляемых данных так, что цель выбирает другой путь обработки или интерпретирует контент иначе, чем предполагалось.
Показать оригинальное описание (EN)
A vulnerability in misp-stix could allow a crafted STIX document to influence security-sensitive MISP attribute metadata during import. The STIX import logic automatically selected between the internal MISP parser and the external STIX parser based on metadata contained in the STIX document itself. For STIX2, the presence of MISP-specific tool labels could cause a document to be classified as originating from MISP; similarly, STIX1 relied on the document title. These classification indicators are fully controlled by the STIX producer and therefore cannot constitute a trusted indication of the document's origin. The accompanying fix explicitly notes that the parser choice was previously based solely on labels or header titles that any producer could write, and introduces an explicit classification parameter allowing callers to override this detection. When STIX2 content was handled as an internal MISP export, attributes contained in an x-misp-object were converted by copying the complete x_misp_attributes dictionary and passing it directly to misp_object.add_attribute(). Consequently, a crafted STIX bundle could supply fields that were not part of the expected STIX-to-MISP round-trip format, including security-sensitive properties such as distribution, sharing_group_id, tags, or other MISP attribute fields. An attacker able to provide a STIX document for import could therefore spoof the markers used to identify MISP-generated content and inject additional attribute properties. This could alter the distribution, sharing restrictions, classification, or semantic metadata of imported attributes, potentially causing information to be shared contrary to the importing organization's policy or influencing downstream processing and automation based on attacker-controlled tags or metadata. The vulnerability results from dynamically assigning externally supplied object properties without restricting them to an expected set of attributes, matching CWE-915. MITRE specifically describes this weakness as accepting externally influenced fields without controlling which object attributes may be modified and recommends an allow-list, which is the approach implemented by the patch. The parser-selection issue additionally corresponds to CWE-807, because an untrusted value was used to make a security-relevant trust/classification decision. The attack is also consistent with CAPEC-153 (Input Data Manipulation), in which an attacker controls the structure or flags of supplied data so that the target selects a different processing path or interprets the content differently than intended.
Характеристики атаки
Последствия
Строка CVSS v4.0