MISP Modules'te iki kritik açık: external tools ekranı kimliksiz yönetilebiliyor, API anahtarları açıkta
MISP Modules'ün web arayüzündeki external tools bileşeninde CVSS4 9.2 puanlı iki açık (CVE-2026-127016, CVE-2026-127046) yayımlandı. Düzeltme 12 Kasım'da ana dala girdi; henüz yeni bir sürüm etiketi yok.
CVE-2026-127016, CVE-2026-127046
SOC ve CERT ekiplerinin tehdit istihbaratı paylaşımında yaygın kullandığı MISP'in zenginleştirme bileşeni MISP Modules'te iki kritik açık yayımlandı. Her ikisi de CVSS4 ölçeğinde 9.2 puan aldı ve modüllerle gelen website uygulamasındaki external tools (harici araç) yönetimini etkiliyor. Düzeltmeler 12 Kasım sabahı projenin ana dalına iki commit olarak girdi.
İlk açık CVE-2026-127016. Kurulumda ADMIN_PASSWORD tanımlıysa modül ayarları yönetici oturumu istiyor, ama external tools uçlarında (araç ekleme, silme, durum ve yapılandırma değiştirme) bu kontrol yapılmıyordu. Ağdan erişebilen kimliği doğrulanmamış biri araç ekleyip silebiliyor, API anahtarlarını ve veri gönderilen adresleri değiştirebiliyordu. İkinci açık CVE-2026-127046. Araç listesini dönen uç nokta kayıtlı API anahtarlarını kimlik doğrulaması olmadan JSON içinde veriyordu. Bu anahtarlarla MISP örneğinin bağlandığı harici analiz servisleri adına işlem yapılabilir. İstismar ya da KEV kaydı bildirilmedi.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| MISP Modules (website bileşeni, external tools) | Üretici bildirimindeki liste (GHSA kayıtlarında sürüm aralığı verilmedi) | Sürüm etiketi yok; düzeltme 28c27e3 ve 61c2789 commit'lerinde (12 Kasım) |
Son yayımlanan sürüm 8 Kasım tarihli v3.1.4. Düzeltme commit'leri bundan sonra geldi. Güncel durumu GHSA-h3wj-j4hx-vx4c ve GHSA-45x6-9mh2-48pq kayıtlarından ve projenin sürüm sayfasından izleyin.
Beni etkiliyor mu?
Açık yalnızca MISP Modules ile gelen website uygulamasını çalıştıran kurulumları ilgilendiriyor. Yalnızca MISP'e modül servisi olarak bağlanan kurulumlarda bu arayüz açık olmayabilir. Kontrol için:
- Python paket yöneticisinin kurulu paket bilgisinden misp-modules sürümüne bakın; kaynak koddan kurduysanız depo geçmişinde 28c27e3 ve 61c2789 commit'lerinin olup olmadığını görün. Yoksa düzeltme yüklü değil.
- Website uygulamasının dinlediği portun yalnızca yönetim ağına açık olup olmadığını kontrol edin.
- External tools ekranında tanımlı araç ve API anahtarı varsa etki daha yüksek.
Ne yapılmalı?
- Kaynak koddan çalıştırıyorsanız düzeltme commit'lerini içeren ana dala geçin; paket kullanıyorsanız yeni sürüm etiketini bekleyip ilk fırsatta upgrade edin.
- Yeni sürüm gelene kadar website arayüzünü internete ve geniş iç ağa kapatın; erişimi yalnızca yönetim ağına ya da VPN arkasına sınırlayın. Kullanılmıyorsa website uygulamasını çalıştırmayın.
- External tools'ta tanımlı API anahtarlarını ifşa olmuş kabul edip ilgili harici servislerde yenileyin.
- Araç listesinde tanımadığınız kayıt, değişmiş veri gönderim adresi ya da beklenmedik durum değişikliği olup olmadığını gözden geçirin; web sunucusu loglarında external_tools uçlarına gelen kimliksiz istekleri arayın.
- Değişikliği SOC araç zinciri için normal change management sürecine alın; MISP ana uygulaması bu açıklardan etkilenmiyor.
