Vulnerabilidad en misp-stix de MISP (CVE-2026-77710)

Una vulnerabilidad en misp-stix podría permitir que un documento STIX manipulado influya en los metadatos de atributos MISP sensibles a la seguridad durante la importación.<br /> <br /> La lógica de importación de STIX seleccionaba automáticamente entre el analizador MISP interno y el analizador STIX externo basándose en los metadatos contenidos en el propio documento STIX. Para STIX2, la presencia de etiquetas de herramientas específicas de MISP podría hacer que un documento se clasificara como originario de MISP; de manera similar, STIX1 se basaba en el título del documento. Estos indicadores de clasificación están totalmente controlados por el productor de STIX y, por lo tanto, no pueden constituir una indicación fiable del origen del documento. La corrección adjunta señala explícitamente que la elección del analizador se basaba anteriormente únicamente en etiquetas o títulos de encabezado que cualquier productor podía escribir, e introduce un parámetro de clasificación explícito que permite a los llamadores anular esta detección.<br /> <br /> Cuando el contenido de STIX2 se manejaba como una exportación interna de MISP, los atributos contenidos en un x-misp-object se convertían copiando el diccionario completo x_misp_attributes y pasándolo directamente a misp_object.add_attribute(). En consecuencia, un paquete STIX manipulado podría proporcionar campos que no formaban parte del formato de ida y vuelta STIX-a-MISP esperado, incluyendo propiedades sensibles a la seguridad como distribution, sharing_group_id, tags u otros campos de atributos MISP.<br /> <br /> Un atacante capaz de proporcionar un documento STIX para su importación podría, por lo tanto, falsificar los marcadores utilizados para identificar el contenido generado por MISP e inyectar propiedades de atributos adicionales. Esto podría alterar la distribución, las restricciones de compartición, la clasificación o los metadatos semánticos de los atributos importados, lo que podría hacer que la información se compartiera en contra de la política de la organización importadora o influir en el procesamiento y la automatización posteriores basándose en etiquetas o metadatos controlados por el atacante.<br /> <br /> La vulnerabilidad resulta de asignar dinámicamente propiedades de objetos suministradas externamente sin restringirlas a un conjunto esperado de atributos, lo que coincide con CWE-915. MITRE describe específicamente esta debilidad como la aceptación de campos influenciados externamente sin controlar qué atributos de objeto pueden modificarse y recomienda una lista de permitidos (allow-list), que es el enfoque implementado por el parche. El problema de selección del analizador corresponde adicionalmente a CWE-807, porque se utilizó un valor no confiable para tomar una decisión de confianza/clasificación relevante para la seguridad.<br /> <br /> El ataque también es consistente con CAPEC-153 (Manipulación de Datos de Entrada), en el que un atacante controla la estructura o las banderas de los datos suministrados para que el objetivo seleccione una ruta de procesamiento diferente o interprete el contenido de manera diferente a lo previsto.