🇰🇷 한글 설명
MISP의 importModule() 함수가 모듈을 호출할 때 조직별 모듈 제한 사항을 제대로 검증하지 않는 취약점입니다. 이로 인해 권한이 없는 조직의 인증된 사용자가 제한된 임포트 모듈을 직접 호출하여 이벤트 데이터를 무단으로 가져오거나 수정할 수 있습니다.
💡 쉬운 설명
특정 조직만 사용할 수 있도록 제한된 기능을 일반 사용자가 이름만 알면 몰래 사용할 수 있는 보안 허점이 발견되었습니다. 이를 통해 허가되지 않은 데이터를 가져오거나 변경하는 행위가 가능할 수 있습니다.
🇺🇸 원문 (English)
MISP’s importModule() path used getEnabledModule() to resolve a single import module by name, but this lookup did not enforce the per-organisation module restriction checked by getEnabledModules(). As a result, an authenticated user from an organisation that was not allowed to use a module restricted via Plugin.Import_<module>_restrict could still invoke that import module directly if they knew its name.
This could allow unauthorised access to restricted import-module functionality and, depending on the module and the user’s event permissions, may allow unauthorised import or modification of event data through a module that should have been unavailable to the user’s organisation.
📍 영향받는 시스템
MISP (특정 버전 미기재, importModule() 함수 사용 버전)
⚔️ 공격 벡터
인증된 사용자가 제한된 모듈의 이름을 알아내어 직접 호출하는 방식
🛡️ 대응 방법
getEnabledModules()를 사용하여 모듈 호출 시 조직별 제한 사항을 강제하도록 패치 적용
🔧 검증 코드
importModule 함수 내에서 getEnabledModules()가 아닌 getEnabledModule()을 사용하여 권한 검증을 우회하는 코드가 있는지 확인합니다.
grep -r "getEnabledModule()" /path/to/misp/src/ | grep "importModule"