„`html
Zusammenfassung
CVE-2026-56447 beschreibt eine kritische Sicherheitslücke in MISP (Malware Information Sharing Platform), die es authentifizierten Administratoren ermöglicht, beliebige Dateisystempfade für die Kafka_rdkafka_config-Einstellung festzulegen. Diese Schwachstelle führt zu einer arbitrary code execution (RCE) mit den Privilegien des MISP-Prozesses. Der Schweregrad wird mit CVSS 7.2 als High eingestuft.
Betroffene Systeme
Die Vulnerability betrifft MISP-Project MISP in Versionen vor dem aktuellen Sicherheitspatch. Besonders gefährdet sind Instanzen mit administrativen Benutzern, deren Anmeldedaten kompromittiert wurden oder die nicht hinreichend überwacht sind.
Technische Details
Der Angriffsvektor funktioniert wie folgt: Ein Angreifer mit administrativen Rechten manipuliert die Kafka_rdkafka_config-Einstellung und verweist auf eine bösartige INI-Konfigurationsdatei. MISP parsed diese Datei ohne ausreichende Validierung und übergibt die Optionen an rdkafka. Durch die Nutzung von rdkafka-Optionen wie plugin.library.paths kann eine externe Bibliothek geladen werden, die beliebigen Code ausführt.
Als Angriffsvektoren können MISP-schreibbare Pfade genutzt werden, etwa hochgeladene Dateien oder administrative Images. Dies senkt die Hürde für einen Exploit erheblich, da keine physischen Dateisystem-Zugriffe erforderlich sind.
Empfohlene Massnahmen
- Sofortmassnahmen: Aktuellen Sicherheitspatch einspielen, der die Einstellung auf genehmigte Konfigurationsverzeichnisse außerhalb des Webroot und MISP-Upload-Ziele beschränkt
- Zugriffskontrolle: Administrative Rechte strikt beschränken und regelmäßig prüfen
- Monitoring: Änderungen an Kafka-Konfigurationen überwachen und loggen
- Validierung: Eingabevalidierung für Dateisystempfade implementieren
- Netzwerksegmentierung: MISP-Instanzen isolieren
Bewertung
Diese Schwachstelle erfordert sofortige Aufmerksamkeit. Obwohl Authentifizierung erforderlich ist, ermöglicht sie einem Admin-Angreifer vollständige Systemkompromittierung. Ein verfügbarer Patch existiert. Unverzügliches Patching und Implementierung der Zugriffskontrollmassnahmen sind essentiell.
„`