CVE-2026-116469

MISP Guard, oparty na proxy filtr bezpieczeństwa do dystrybucji kanałów MISP (Malware Information Sharing Platform), zawiera błąd uwzględniający wielkość liter w wielu kontrolach egzekwowania zasad. Funkcje check_required_taxonomy_exists, check_required_taxonomy_tags_allowed, check_blocked_attribute_categories i check_blocked_analyst_data_sharing_groups_uuids wykonywały porównania ciągów z uwzględnieniem wielkości liter podczas dopasowywania tagów zdarzeń, kategorii atrybutów i identyfikatorów UUID grup udostępniania względem skonfigurowanych list dozwolonych/blokowanych.

Osoba atakująca mająca możliwość tworzenia lub modyfikowania zdarzeń w instancji MISP (lub połączonej instancji, która przepuszcza zdarzenia przez ochronę) może utworzyć zdarzenia, używając różnych liter w nazwach znaczników taksonomii, kategoriach atrybutów lub identyfikatorach UUID grup udostępniania, aby ominąć skonfigurowane zasady bezpieczeństwa. Na przykład, jeśli zasady wymagają taksonomii „tlp” z dozwoloną tylko „tlp:clear”, zdarzenie oznaczone „TLP:AMBER” nie zostanie rozpoznane jako należące do taksonomii „tlp” i w związku z tym nie zostanie sprawdzone z listą dozwolonych tagów, co spowoduje przekazanie zdarzenia do odbiorców. Podobnie zablokowana kategoria atrybutów, taka jak „Osoba”, nie będzie zgodna ze skonfigurowanym wpisem bloku „osoba”, co umożliwi przejście atrybutu przez filtr.

Wpływ na bezpieczeństwo polega na nieuprawnionym ujawnieniu danych dotyczących zagrożeń, które operator zamierzał ograniczyć. Zdarzenia noszące niedozwolone oznaczenia TLP (Traffic Light Protocol), zablokowane kategorie atrybutów lub zablokowane powiązania z grupami udostępniania są przekazywane do dalszych odbiorców paszy z naruszeniem skonfigurowanej polityki dystrybucji. Podważa to kontrolę poufności, którą MISP Guard ma egzekwować.

Lukę można w prosty sposób wykorzystać: osoba atakująca musi jedynie zmienić wielkość liter w tagu, kategorii lub ciągu UUID. Nie jest wymagane żadne uwierzytelnianie wykraczające poza zwykłe uprawnienia do tworzenia zdarzeń MISP i nie jest wymagana żadna interakcja użytkownika.