MISP Modules: Server-Side-Request-Forgery (SSRF) (CVE-2026-112991)

Was ist betroffen, was ist zu tun

Das html_to_markdown-Erweiterungsmodul in MISP-Modulen enthält eine Schwachstelle zur Server-Side-Request-Forgery (SSRF) in seiner is_safe_url()-URL-Validierungsfunktion. Die BLOCKED_RANGES-Liste, die zum Ablehnen unsicherer Zieladressen verwendet wird, war unvollständig und ließ mehrere kritische IP-Adressbereiche aus.

Aktualisieren Sie MISP Modules auf Version 3.0.13.

Betroffen

• MISP Modules lte *..3.0.12

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Das html_to_markdown-Erweiterungsmodul in MISP-Modulen enthält eine Schwachstelle zur Server-Side-Request-Forgery (SSRF) in seiner is_safe_url()-URL-Validierungsfunktion. Die BLOCKED_RANGES-Liste, die zum Ablehnen unsicherer Zieladressen verwendet wird, war unvollständig und ließ mehrere kritische IP-Adressbereiche aus. Insbesondere wurden die folgenden Bereiche nicht blockiert: 0.0.0.0/8 (unbestimmt, das auf Linux zu Loopback routet), 100.64.0.0/10 (Carrier-Grade-NAT gemäß RFC 6598), ::/128 (IPv6 unbestimmt), fc00::/7 (IPv6 Unique Local Addresses) und fe80::/10 (IPv6 link-local). Die bestehende Liste deckte nur IPv4-Loopback (127.0.0.0/8), RFC 1918 private Bereiche, IPv4 link-local (169.254.0.0/16) und IPv6-Loopback (::1/128) ab. Ein authentifizierter Benutzer mit der Möglichkeit, MISP-Attribute zu erstellen oder zu ändern, die das html_to_markdown-Erweiterungsmodul auslösen, könnte URLs bereitstellen, die auf diese unblockierten internen Adressbereiche verweisen. Da das Modul die URL serverseitig abruft, um HTML-Inhalte in Markdown umzuwandeln, wird die Anfrage vom Netzwerkkontext des MISP-Servers aus gemacht. Dies ermöglicht einem Angreifer, interne Dienste, Carrier-Grade-NAT-Infrastruktur oder link-lokale Endpunkte zu sondieren und Antworten zu lesen, die von externen Netzwerken sonst nicht erreichbar wären. IPv4-zu-IPv6-Formen (z. B. [::ffff:0.0.0.0]) umgingen ebenfalls die bestehenden Überprüfungen. Die Sicherheitsauswirkung betrifft hauptsächlich die Vertraulichkeit: Ein Angreifer kann Daten lesen, die von internen Diensten bereitgestellt werden, die vom MISP-Server aus erreichbar sind. Die MISP-Instanz selbst wird nicht kompromittiert, wird aber als Proxy missbraucht, um auf sonst eingeschränkte Netzwerkressourcen zuzugreifen.

Quelle: ENISA EUVD, cvelistv5, NVD (NIST), BSI CSAF, BSI WID Portal

Hersteller und Produkte

• MISP Misp-modules
• Open Source

Weakness-Klassen (CWE)

• CWE-918Server-Side Request Forgery (SSRF)

  Base

  The web server receives a URL or similar request from an upstream component and retrieves the contents of this URL, but it does not sufficiently ensure that the request is being sent to the expected destination.

  Eintrag bei MITRE CWE-918

• CWE-20Improper Input Validation

  Class

  The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.

  Eintrag bei MITRE CWE-20

Quellen & Referenzen

• github.comSecurity patcheuvd, Patch
• NVD (NIST)vuln/detail/CVE-2026-112991euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 20.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: nein

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-112991","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-10-20T19:22:04.700266Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 20.10.2026Eintrag geändertCIRCL

   1 Einzeländerung: Betroffene Versionen (Herausgeber)

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/112xxx/CVE-2026-112991.json">CVE-2026-112991</a>

   Kennung der Quelle: 5a6e4751-2f3f-4070-9419-94fb35b644e8

3. 19.10.2026Neu erfasstCIRCL

   CVSS V4.0: AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: ja

   Schwachstellentyp: CWE-20, CWE-918

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://github.com/misp/misp-modules/commit/98a1c2c2f297665dd8d4609e9cd644007a57516b
   7 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	The html_to_markdown expansion module in MISP Modules contains a server-side request forgery (SSRF) vulnerability in its is_safe_url() URL validation function. The BLOCKED_RANGES list used to reject unsafe destination addresses was incomplete, omitting several critical IP address ranges. Specifically, the following ranges were not blocked: 0.0.0.0/8 (unspecified, which routes to loopback on Linux), 100.64.0.0/10 (carrier-grade NAT per RFC 6598), ::/128 (IPv6 unspecified), fc00::/7 (IPv6 Unique Local Addresses), and fe80::/10 (IPv6 link-local). The existing list only covered IPv4 loopback (127.0.0.0/8), RFC 1918 private ranges, IPv4 link-local (169.254.0.0/16), and IPv6 loopback (::1/128). An authenticated user with the ability to create or modify MISP attributes that trigger the html_to_markdown expansion module could supply URLs pointing to these unblocked internal address ranges. Because the module fetches the URL server-side to convert HTML content to Markdown, the request is made from the MISP server's network context. This allows an attacker to probe and read responses from internal services, carrier-grade NAT infrastructure, or link-local endpoints that would otherwise be unreachable from external networks. IPv4-mapped IPv6 forms (e.g., [::ffff:0.0.0.0]) also bypassed the existing checks. The security impact is primarily confidentiality: an attacker can read data served by internal services reachable from the MISP server. The MISP instance itself is not compromised, but it is abused as a proxy to access otherwise restricted network resources.
   CVSS	ergänzt	—	AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   Schwachstellentyp (CWE)	ergänzt	—	CWE-20
   Schwachstellentyp (CWE)	ergänzt	—	CWE-918
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/112xxx/CVE-2026-112991.json">CVE-2026-112991</a>
   Referenz	ergänzt	—	https://github.com/misp/misp-modules/commit/98a1c2c2f297665dd8d4609e9cd644007a57516b
   SSVC-Einschätzung	ergänzt	—	{"role":"Supplier","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-10-19T22:15:01Z"}

   Kennung der Quelle: 5a6e4751-2f3f-4070-9419-94fb35b644e8