Vulnerabilidad en misp-stix de misp (CVE-2026-77761)

Una vulnerabilidad de aislamiento de estado del analizador en misp-stix podría causar que datos de un documento STIX procesado previamente se retengan y se incorporen al evento MISP generado a partir de un documento subsiguiente cuando se reutiliza la misma instancia del analizador.<br /> <br /> Varios componentes del analizador STIX 1 y STIX 2 mantenían un estado por documento que no se borraba completamente entre conversiones. En el analizador STIX 2, la información de galaxias y clústeres de galaxias, incluyendo clústeres de galaxias personalizados, podría sobrevivir a un reinicio del analizador y posteriormente asociarse con objetos de otro paquete.<br /> <br /> Los analizadores STIX 1 se vieron afectados por el mismo problema subyacente de gestión de estado. Dependiendo del tipo de analizador, la información retenida podría incluir galaxias, referencias, contabilidad de DNS pasivo, títulos de paquetes, fechas y marcas de tiempo. Como resultado, analizar un segundo paquete STIX con un analizador ya utilizado podría producir un evento MISP que contenga información que solo estaba presente en el paquete procesado previamente. Por ejemplo, un evento generado podría heredar registros DNS pasivos de un documento anterior, hacer referencia a información de galaxias no relacionada, combinar títulos de diferentes paquetes o usar marcas de tiempo originadas en otra conversión.<br /> <br /> El problema afecta principalmente a las aplicaciones que utilizan la API de misp-stix directamente y reutilizan instancias del analizador entre documentos STIX independientes. Los puntos de entrada de conversión normales que instancian un nuevo analizador para cada archivo no se ven afectados por este escenario de reutilización particular.<br /> <br /> Un atacante capaz de influir en los documentos procesados por un analizador de tan larga duración podría potencialmente causar que información de una conversión contamine un evento MISP subsiguiente. Esto puede afectar la integridad de la inteligencia de amenazas generada, lo que resulta en asociaciones incorrectas, información contextual engañosa o indicadores no relacionados que se atribuyen a un evento. En entornos donde los documentos consecutivos tienen diferentes controles de acceso o alcances de distribución, el estado retenido podría adicionalmente resultar en una divulgación limitada de información de un documento procesado previamente.<br /> <br /> La explotación exitosa depende de que la aplicación consumidora reutilice la misma instancia del analizador y del orden de los documentos procesados, lo que aumenta la complejidad del ataque. No hay un impacto directo en la disponibilidad ni ejecución de código involucrada.