🇰🇷 한글 설명
MISP의 대시보드 위젯, 특히 버튼 위젯에서 사용하는 URL 검증 로직이 불충분하여 발생하는 보안 취약점입니다. 공격자가 조작된 URL을 저장하면 다른 사용자가 위젯을 클릭할 때 악성 스크립트가 실행되거나 공격자의 사이트로 리다이렉트될 수 있는 저장형 XSS 취약점입니다.
💡 쉬운 설명
대시보드에 버튼을 만들 때 입력하는 주소를 제대로 검사하지 않아 발생하는 문제입니다. 나쁜 코드가 담긴 주소를 입력해두면, 다른 사람이 그 버튼을 누르는 순간 해킹을 당할 수 있습니다.
🇺🇸 원문 (English)
Affected versions of MISP insufficiently validate URLs used by dashboard widgets, particularly the Button widget.
The widget's URL is stored configuration controlled by a user. The previous renderer considered a URL safe if it appeared relative or if its parsed hostname matched the configured MISP hostname. That logic failed to reject dangerous schemes and URL forms that browsers normalize differently from PHP's URL parsing.
As a result, values such as javascript: URLs or backslash-based authority forms could reach the generated anchor's href and execute script or navigate to an attacker-controlled origin when another user interacted with the widget. The upstream commit describes the issue as:
“javascript: and backslash URLs reached the href (stored XSS)”.
The fix routes widget URLs through a shared DashboardURLValidator, rejects dangerous schemes, raw backslashes, control characters, and unauthorized absolute origins, and validates the URL both in the widget handler and renderer.
Version affected: ≤2.5.45
📍 영향받는 시스템
MISP 버전 2.5.45 이하 모든 버전
⚔️ 공격 벡터
공격자가 조작된 javascript: 스킴 또는 백슬래시(\)를 포함한 URL을 위젯 설정에 저장하여 실행 유도
🛡️ 대응 방법
MISP를 최신 버전으로 업데이트하여 DashboardURLValidator가 적용된 패치를 적용해야 함
🔧 검증 코드
출력된 MISP 버전이 2.5.45 이하인지 확인하여 취약 여부를 판단합니다.
dpkg -l | grep misp 2>/dev/null || rpm -q misp 2>/dev/null || python3 -c 'import misp; print(misp.__version__)' 2>/dev/null