CVE-2026-35210

OpenCTI: Pominięcie weryfikacji uprawnień przez nagłówek HTTP

CVSS 7.1v3.1pub. 2026-07-08upd. 2026-07-13

Podatność w OpenCTI umożliwia uwierzytelnionemu użytkownikowi posiadającemu uprawnienie KNOWLEDGE_KNUPDATE ominięcie mechanizmów walidacji poziomu zaufania (Confidence Level) oraz ograniczeń oznaczeń obiektów (Object Marking) poprzez wstrzyknięcie nagłówka HTTP 'synchronized-upsert: true'. Jest to poważne zagrożenie dla integralności danych wywiadowczych przechowywanych na platformie.

▸ Pokaż oryginał (EN)

OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. Prior to 7.260326.0, an authorization bypass vulnerability in OpenCTI allows any authenticated user with KNOWLEDGE_KNUPDATE permission to bypass Confidence Level validation and Object Marking restrictions by injecting the synchronized-upsert: true HTTP header, enabling attackers to downgrade confidence levels, remove security markings such as TLP:RED, manipulate relationships, and affect STIX object types including Indicators, ThreatActors, Malware, and Reports. This issue is fixed in version 7.260326.0.

🤖 Analiza AI

Jak działa

Atakujący wysyła żądanie HTTP z dodatkowym nagłówkiem 'synchronized-upsert: true', co powoduje, że aplikacja pomija standardową walidację Confidence Level oraz sprawdzanie Object Marking restrictions. Mechanizm przeznaczony prawdopodobnie do operacji synchronizacji zostaje w ten sposób nadużyty przez zwykłego użytkownika. W efekcie możliwa jest modyfikacja obiektów STIX, takich jak Indicators, ThreatActors, Malware i Reports, z pominięciem kontroli dostępu (CWE-863) oraz weryfikacji powiązanej z identyfikatorem obiektu (CWE-639).

Skutki

Atakujący może obniżyć poziomy zaufania danych wywiadowczych, usunąć oznaczenia bezpieczeństwa (np. TLP:RED), manipulować relacjami między obiektami STIX oraz modyfikować krytyczne rekordy — co prowadzi do naruszenia integralności bazy wiedzy o zagrożeniach i potencjalnego ujawnienia informacji objętych restrykcjami.

Mitygacja

Należy zaktualizować OpenCTI do wersji 7.260326.0, w której problem został naprawiony. Szczegóły poprawki dostępne są w oficjalnym repozytorium GitHub projektu oraz w poradniku bezpieczeństwa GHSA-36fr-4m54-94mj.

Kogo dotyczy

OpenCTI (Citeum) w wersjach wcześniejszych niż 7.260326.0

Uwagi

Podatność wymaga posiadania konta z uprawnieniem KNOWLEDGE_KNUPDATE, co ogranicza powierzchnię ataku do uwierzytelnionych użytkowników wewnętrznych lub skompromitowanych kont. Poprawka dostępna w commit 134531ddf5ecf741006b7f0870b7c36711b96540 (PR #14243).