- Yama var
- Son 7 gün
- CWE-20
CVE-2026-116372
MISP mispguard, 200 dışındaki 2xx yanıtlarla filtreleme kurallarını atlatabiliyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- CIRCL
ÖzetTürkçe
MISP mispguard, yapılandırılmış kurallara göre MISP feed yanıtlarını inceleyen ve engelleyen bir güvenlik filtreleme proxy'sidir. src/mispguard.py dosyasındaki process_feed_response metodu, feed yanıtlarını MISP örneğine ulaşmadan önce değerlendirmekten sorumluydu. Orijinal mantık, HTTP durum kodu 200 olmayan yanıtları yalnızca açıkça ele alıyor ve filtrelemeden geçiriyordu; bu, 200 dışındaki yanıtların alınabilir olay verisi içermeyeceği varsayımına dayanıyordu. Ancak 201 Created, 203 Non-Authoritative Information ve 206 Partial Content gibi 200 dışındaki HTTP 2xx durum kodları da filtrelenmeden geçiriliyordu. MISP bu yanıtlardaki içeriği yine de alabildiğinden, kötü niyetli veya ele geçirilmiş bir feed sunucusu 203 ya da 206 durum koduyla keyfi içerik döndürerek mispguard'ın tüm filtreleme kurallarını etkisiz hale getirebiliyordu. Bu durum, filtrelenmemiş veya zararlı feed verilerinin MISP örneğine alınmasına yol açarak mispguard'ın uygulamak üzere tasarlandığı güvenlik kontrollerini zayıflatıyordu. Saldırganun, MISP örneğinde yapılandırılmış bir feed uç noktasını kontrol etmesi veya ele geçirmesi gerekir; mevcut feed sorgulama mekanizmasının ötesinde kimlik doğrulama veya kullanıcı etkileşimi gerekmez. Düzeltmede, process_feed_response içine 201-299 aralığındaki (yani 200 dışındaki başarılı yanıtlar) durum kodlarını reddeden açık bir kontrol eklenerek bu yanıtlara 403 Forbidden döndürülmektedir. Böylece yalnızca tam olarak 200 durum koduna sahip yanıtlar normal filtreleme sürecine tabi tutulmakta, diğer tüm 2xx yanıtlar MISP örneğine ulaşmadan engellenmektedir ve atlatma yolu kapatılmaktadır. CVSS 4.0 vektörü: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:H/SA:N, skor 7.7 (YÜKSEK). İlgili zayıflık: CWE-20 (Uygun Olmayan Girdi Doğrulaması). Etkilenen sürüm: misp-guard <= 1.3.
Kaynaktaki açıklama (İngilizce)
MISP mispguard is a security filtering proxy that inspects and blocks MISP feed responses based on configured rules. The process_feed_response method in src/mispguard.py was responsible for evaluating feed responses before they reached the MISP instance. The original logic only explicitly handled the case where the HTTP status code was not 200 by passing the response through without filtering, on the assumption that non-200 responses would not carry ingestible event data. However, HTTP 2xx status codes other than 200 (such as 201 Created, 203 Non-Authoritative Information, and 206 Partial Content) were also passed through unfiltered. Because MISP may still ingest content from these responses, a malicious or compromised feed host could return a 203 or 206 status code with arbitrary content, effectively bypassing all of mispguard's filtering rules. This allowed unfiltered or malicious feed data to be ingested into the MISP instance, undermining the security controls that mispguard is designed to enforce. The vulnerability requires the attacker to control or compromise a feed endpoint configured in the MISP instance. No authentication or user interaction is required beyond the feed polling mechanism already in place.
Üreticinin çözüm notu (İngilizce)
The fix adds an explicit check in process_feed_response that rejects any HTTP response with a status code in the 201-299 range (i.e., successful responses other than 200) by returning a 403 Forbidden response. This ensures that only responses with exactly status code 200 are subject to the normal filtering pipeline, and all other 2xx responses are blocked before they can reach the MISP instance, closing the bypass vector.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| misp-guard | ≤ 1.3 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.