CVE-2022-48328

SQL Injection w MISP — nieprawidłowa obsługa parametrów URL w IndexFilterComponent

CVSS 9.8v3.1pub. 2023-02-20upd. 2026-06-22

Podatność w pliku app/Controller/Component/IndexFilterComponent.php aplikacji MISP (przed wersją 2.4.167) umożliwia przeprowadzenie ataku SQL injection poprzez nieprawidłową obsługę parametrów ordered_url_params oraz additional_delimiters. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość pełnego przejęcia kontroli nad systemem bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

app/Controller/Component/IndexFilterComponent.php in MISP before 2.4.167 mishandles ordered_url_params and additional_delimiters.

🤖 Analiza AI

Jak działa

Komponent IndexFilterComponent nie waliduje poprawnie wartości przekazywanych przez parametry ordered_url_params i additional_delimiters w żądaniach HTTP. Atakujący może dostarczyć spreparowane dane wejściowe, które zostaną wbudowane w zapytanie SQL bez odpowiedniego oczyszczenia (CWE-755 — nieprawidłowa obsługa wyjątków/błędów). Exploit nie wymaga uwierzytelnienia, interakcji użytkownika ani szczególnych warunków sieciowych, co sprawia, że atak jest wyjątkowo łatwy do przeprowadzenia zdalnie.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych MISP, odczytać, zmodyfikować lub usunąć dane o zdarzeniach i wskaźnikach zagrożeń (IoC), a w zależności od konfiguracji serwera bazy danych potencjalnie przejąć kontrolę nad całym systemem.

Mitygacja

Należy zaktualizować MISP do wersji 2.4.167 lub nowszej. Poprawka została wprowadzona w commitach 1edbc2569989f844799261a5f90edfa433d7dbcc oraz 206f540f0275af2dd2a86275abc199df41e72a21 dostępnych w repozytorium GitHub projektu MISP.

Kogo dotyczy

MISP (Misp-Project) we wszystkich wersjach przed 2.4.167

Uwagi

Szczegółowe informacje techniczne dotyczące podatności zostały opublikowane przez firmę Zigrin Security w ramach badań nad SQL injection w aplikacjach opartych na frameworku CakePHP (referencje: zigrin.com/advisories/misp-sql-injection-in-crud-component).