Vulnerabilidad en misp-stix de misp (CVE-2026-77755)

Se identificó una vulnerabilidad de denegación de servicio en misp-stix al procesar documentos STIX 1 o STIX 2 controlados por el atacante.<br /> <br /> El código de importación de STIX usaba sys.exit() para manejar varias fallas de análisis y carga. Debido a que SystemExit hereda de BaseException en lugar de Exception, estas fallas eludieron los manejadores de excepciones utilizados por los llamadores de la biblioteca. Como resultado, un documento STIX malformado podría terminar un proceso de importación de larga duración en lugar de devolver un error de análisis recuperable.<br /> <br /> Además, no se impuso ningún límite al tamaño de los documentos STIX antes del análisis. Por lo tanto, un documento enviado se leía y materializaba en memoria antes de que se evaluara su validez o tipo. Dependiendo del documento y la ruta de análisis, el procesamiento podría consumir aproximadamente de dos a siete veces el tamaño de entrada en memoria, permitiendo que un documento STIX suficientemente grande causara un consumo excesivo de memoria y CPU y potencialmente terminara o degradara severamente el servicio de importación.<br /> <br /> Un atacante capaz de proporcionar contenido STIX a un flujo de trabajo de importación de MISP-STIX podría explotar cualquiera de las dos condiciones para afectar la disponibilidad. Un documento malformado podría causar la terminación anormal del proceso a través de un SystemExit no capturado, mientras que un documento grande podría agotar los recursos durante la deserialización y conversión.<br /> <br /> Las correcciones reemplazan las llamadas a sys.exit() que terminan el proceso con excepciones capturables como STIXLoadingError y MissingSTIXContentError, y extienden el manejo de excepciones a todo el proceso de detección y conversión de STIX. El importador ahora también impone un límite de tamaño de entrada antes del análisis. El máximo predeterminado es de 100 MB, puede ser ajustado por los llamadores y puede ser deshabilitado explícitamente cuando sea necesario. Las entradas STIX 1 se verifican adicionalmente para el elemento raíz esperado antes de que se construya el árbol XML completo.<br /> <br /> Impacto<br /> La explotación exitosa puede causar:<br /> <br /> * terminación de un importador MISP-STIX de larga duración;<br /> * asignación excesiva de memoria;<br /> * consumo excesivo de CPU;<br /> * degradación o indisponibilidad temporal de los servicios que dependen del conversor;<br /> * interrupción de los flujos de trabajo de ingesta de STIX por lotes o automatizados.