Eine Schwachstelle in misp-stix könnte es ermöglichen, dass ein manipuliertes STIX-Dokument die sicherheitsrelevanten MISP-Attribut-Metad…

Was ist betroffen, was ist zu tun

Eine Schwachstelle in misp-stix könnte es ermöglichen, dass ein manipuliertes STIX-Dokument die sicherheitsrelevanten MISP-Attribut-Metadaten während des Imports beeinflusst. Die Logik zum Import von STIX wählte automatisch zwischen dem internen MISP-Parser und dem externen STIX-Parser basierend auf Metadaten aus, die im STIX-Dokument selbst enthalten waren.

Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.

Metriken

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Eine Schwachstelle in misp-stix könnte es ermöglichen, dass ein manipuliertes STIX-Dokument die sicherheitsrelevanten MISP-Attribut-Metadaten während des Imports beeinflusst. Die Logik zum Import von STIX wählte automatisch zwischen dem internen MISP-Parser und dem externen STIX-Parser basierend auf Metadaten aus, die im STIX-Dokument selbst enthalten waren. Bei STIX2 führte das Vorhandensein von MISP-spezifischen Tool-Labels dazu, dass ein Dokument als von MISP stammend klassifiziert wurde; ähnlich verließ sich STIX1 auf den Titel des Dokuments. Diese Klassifikationsindikatoren werden vollständig vom STIX-Hersteller kontrolliert und können daher keine vertrauenswürdige Indikation der Herkunft des Dokuments darstellen. Die dazugehörige Behebung weist explizit darauf hin, dass die Wahl des Parsers zuvor allein auf Labels oder Header-Titel basierte, die jeder Produzent schreiben konnte, und führt einen expliziten Klassifizierungsparameter ein, der es Aufrufern ermöglicht, diese Erkennung zu überschreiben. Wurde STIX2-Inhalt als interner MISP-Export behandelt, wurden Attribute in einem x-misp-object durch Kopieren des gesamten x_misp_attributes-Wörterbuchs konvertiert und direkt an misp_object.add_attribute() übergeben. Folglich konnte ein manipulierter STIX-Bundle zusätzliche Felder bereitstellen, die nicht Teil des erwarteten STIX-zu-MISP-Rundreiseprozesses waren, einschließlich sicherheitsrelevanter Eigenschaften wie distribution, sharing_group_id, tags oder andere MISP-Attributfelder. Ein Angreifer, der in der Lage ist, ein STIX-Dokument für den Import bereitzustellen, könnte daher die Marker nachahmen, die zur Identifizierung von MISP-generierten Inhalten verwendet werden, und zusätzliche Attribut-Eigenschaften injizieren. Dies könnte die Verteilung, die Weitergabebeschränkungen, die Klassifikation oder die semantischen Metadaten der importierten Attribute ändern und dazu führen, dass Informationen im Widerspruch zur Richtlinie des importierenden Unternehmens geteilt werden oder die nachgelagerte Verarbeitung und Automatisierung aufgrund von vom Angreifer kontrollierten Tags oder Metadaten beeinflusst wird. Die Schwachstelle resultiert daraus, dass extern bereitgestellte Objekteigenschaften dynamisch zugewiesen wurden, ohne sie auf eine erwartete Menge von Attributen zu beschränken, was mit CWE-915 übereinstimmt. MITRE beschreibt diese Schwäche speziell als das Akzeptieren von extern beeinflussten Feldern ohne Kontrolle darüber, welche Objektattribute geändert werden dürfen und empfiehlt eine Allowlist, die der Ansatz ist, den die Behebung implementiert. Das Problem bei der Parserauswahl entspricht zusätzlich CWE-807, da ein nicht vertrauenswürdiger Wert zur Entscheidung über Vertrauen/Klassifizierung verwendet wurde. Der Angriff stimmt auch mit CAPEC-153 (Manipulation von Eingabedaten) überein, bei dem der Angreifer die Struktur oder Flags der bereitgestellten Daten kontrolliert, so dass das Ziel einen anderen Verarbeitungspfad auswählt oder den Inhalt anders interpretiert als beabsichtigt.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: ENISA EUVD, cvelistv5, NVD (NIST), CVE.org (MITRE)

Weakness-Klassen (CWE)

• CWE-20Improper Input Validation

  Class

  The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.

  Eintrag bei MITRE CWE-20

Quellen & Referenzen

• github.comMISP/misp-stix/commit/3e5e7bdaeuvd
• github.comMISP/misp-stix/commit/66c654b9euvd
• NVD (NIST)vuln/detail/CVE-2026-77710euvd

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Translated16.10.2026nvd@nist.gov

   • Translation: nachher Title: misp-stix de MISP, Description: Una vulnerabilidad en misp-stix podría permitir que un documento STIX manipulado influya en los metadatos de atributos MISP sensibles a la seguridad durante la importación. La lógica de importación de STIX seleccionaba automáticamente entre el analizador MISP interno y el analizador STIX externo basándose en los metadatos contenidos en el propio documento STIX. Para STIX2, la presencia de etiquetas de herramientas específicas de MISP podría hacer que un documento se clasificara como originario de MISP; de manera similar, STIX1 se basaba en el título del documento. Estos indicadores de clasificación están totalmente controlados por el productor de STIX y, por lo tanto, no pueden constituir una indicación fiable del origen del documento. La corrección adjunta señala explícitamente que la elección del analizador se basaba anteriormente únicamente en etiquetas o títulos de encabezado que cualquier productor podía escribir, e introduce un parámetro de clasificación explícito que permite a los llamadores anular esta detección. Cuando el contenido de STIX2 se manejaba como una exportación interna de MISP, los atributos contenidos en un x-misp-object se convertían copiando el diccionario completo x_misp_attributes y pasándolo directamente a misp_object.add_attribute(). En consecuencia, un paquete STIX manipulado podría proporcionar campos que no formaban parte del formato de ida y vuelta STIX-a-MISP esperado, incluyendo propiedades sensibles a la seguridad como distribution, sharing_group_id, tags u otros campos de atributos MISP. Un atacante capaz de proporcionar un documento STIX para su importación podría, por lo tanto, falsificar los marcadores utilizados para identificar el contenido generado por MISP e inyectar propiedades de atributos adicionales. Esto podría alterar la distribución, las restricciones de compartición, la clasificación o los metadatos semánticos de los atributos importados, lo que podría hacer que la información se compartiera en contra de la política de la organización importadora o influir en el procesamiento y la automatización posteriores basándose en etiquetas o metadatos controlados por el atacante. La vulnerabilidad resulta de asignar dinámicamente propiedades de objetos suministradas externamente sin restringirlas a un conjunto esperado de atributos, lo que coincide con CWE-915. MITRE describe específicamente esta debilidad como la aceptación de campos influenciados externamente sin controlar qué atributos de objeto pueden modificarse y recomienda una lista de permitidos (allow-list), que es el enfoque implementado por el parche. El problema de selección del analizador corresponde adicionalmente a CWE-807, porque se utilizó un valor no confiable para tomar una decisión de confianza/clasificación relevante para la seguridad. El ataque también es consistente con CAPEC-153 (Manipulación de Datos de Entrada), en el que un atacante controla la estructura o las banderas de los datos suministrados para que el objetivo seleccione una ruta de procesamiento diferente o interprete el contenido de manera diferente a lo previsto.

2. New CVE Received21.08.20265a6e4751-2f3f-4070-9419-94fb35b644e8

   • Affected: nachher misp-stix
   • Description: nachher A vulnerability in misp-stix could allow a crafted STIX document to influence security-sensitive MISP attribute metadata during import. The STIX import logic automatically selected between the internal MISP parser and the external STIX parser based on metadata contained in the STIX document itself. For STIX2, the presence of MISP-specific tool labels could cause a document to be classified as originating from MISP; similarly, STIX1 relied on the document title. These classification indicators are fully controlled by the STIX producer and therefore cannot constitute a trusted indication of the document's origin. The accompanying fix explicitly notes that the parser choice was previously based solely on labels or header titles that any producer could write, and introduces an explicit classification parameter allowing callers to override this detection. When STIX2 content was handled as an internal MISP export, attributes contained in an x-misp-object were converted by copying the complete x_misp_attributes dictionary and passing it directly to misp_object.add_attribute(). Consequently, a crafted STIX bundle could supply fields that were not part of the expected STIX-to-MISP round-trip format, including security-sensitive properties such as distribution, sharing_group_id, tags, or other MISP attribute fields. An attacker able to provide a STIX document for import could therefore spoof the markers used to identify MISP-generated content and inject additional attribute properties. This could alter the distribution, sharing restrictions, classification, or semantic metadata of imported attributes, potentially causing information to be shared contrary to the importing organization's policy or influencing downstream processing and automation based on attacker-controlled tags or metadata. The vulnerability results from dynamically assigning externally supplied object properties without restricting them to an expected set of attributes, matching CWE-915. MITRE specifically describes this weakness as accepting externally influenced fields without controlling which object attributes may be modified and recommends an allow-list, which is the approach implemented by the patch. The parser-selection issue additionally corresponds to CWE-807, because an untrusted value was used to make a security-relevant trust/classification decision. The attack is also consistent with CAPEC-153 (Input Data Manipulation), in which an attacker controls the structure or flags of supplied data so that the target selects a different processing path or interprets the content differently than intended.
   • CVSS V4.0: nachher AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   • CWE: nachher CWE-20