تنبيه أمني من مركز الاستجابة الأمنية كارن آي تي

رقم الإرشاد: KSRC-2026-013 | تاريخ النشر: 15 نوفمبر 2026

غياب التفويض في إدارة الأدوات الخارجية في MISP Modules
CVE-2026-127016

الملخص

تم اكتشاف ثغرة حرجة من نوع تجاوز التفويض في مكوّن موقع MISP Modules. تحمل هذه الثغرة المعرّف CVE-2026-127016 وتسمح لمهاجم عن بُعد غير مصادق عليه بإدارة كاملة للأدوات الخارجية عندما تكون مصادقة المسؤول الاختيارية مفعّلة.

تم تقييم الثغرة بدرجة خطورة 9.2 (حرجة) وفق معيار CVSS v4.0. يمكن للمهاجم الذي لديه وصول شبكي إلى موقع MISP Modules إضافة الأدوات الخارجية أو حذفها أو تفعيلها/تعطيلها أو إعادة تكوينها، بما في ذلك القدرة على تعديل مفاتيح API وعناوين URL للاستيراد. تؤثر الثغرة على إصدارات misp-modules حتى 3.1.4 شاملة.

نظرة تقنية

يوفر تطبيق موقع MISP Modules نقاط نهاية لإدارة الأدوات الخارجية (إضافة، حذف، تغيير الحالة، وتغيير التكوين) عبر blueprint في Flask باسم external_tools. عندما يتم تكوين متغير البيئة ADMIN_PASSWORD، تتطلب نقاط النهاية الحساسة الأخرى (مثل تكوين الوحدات) جلسة مسؤول مصادقة بشكل صحيح.

ومع ذلك، لم تفرض معالجات إدارة الأدوات الخارجية نفس فحص التفويض. كانت الطلبات من المستخدمين المجهولين تُعالَج دون أي تحقق من المصادقة أو التفويض. سمحت هذه عدم الاتساقية بتجاوز كامل للتحكم في الوصول المقصود لإدارة الأدوات الخارجية.

يشمل التأثير القدرة على حقن أدوات خارجية خبيثة، وإزالة الأدوات الشرعية، وتبديل حالتها النشطة، وتغيير بيانات التكوين مثل مفاتيح API ونقاط نهاية استيراد البيانات. الثغرة مشروطة بوجود ADMIN_PASSWORD؛ التثبيتات التي تترك الإدارة مفتوحة عمداً (بدون كلمة مرور مسؤول) لا تُعتبر ضعيفة بموجب هذا CVE، لأن الوصول المفتوح يكون حسب التصميم في ذلك التكوين.

الأنظمة المتأثرة

• misp-modules الإصدارات ≤ 3.1.4

التثبيتات التي عيّنت ADMIN_PASSWORD وتعرّض واجهة موقع MISP Modules للشبكة هي الأكثر عرضة للخطر. ينبغي على المؤسسات التي تشغّل MISP لمشاركة معلومات التهديدات والإثراء التحقق من إصدار misp-modules وتعريض واجهة الإدارة.

الإصدار المُصلح: طبّق الإصلاح من المصدر (commit متاح في مستودع MISP/misp-modules) أو قم بالترقية إلى إصدار يحتوي على معالج التفويض لـ blueprint الخاص بـ external_tools.

حالة الاستغلال

• الإفصاح العلني في 12 نوفمبر 2026.
• تم الإبلاغ عن مراجع لإثبات مفهوم / استغلال علني.
• تم الإفصاح عن مشكلة حرجة ذات صلة في نفس المنتج (CVE-2026-127046 المتعلقة بسرقة مفاتيح API المخزّنة) في نفس الفترة الزمنية.
• لم يتم تأكيد استغلال واسع النطاق في الطبيعة حتى تاريخ نشر هذا الإرشاد.
• غير مدرج في كتالوج CISA للثغرات المستغلة المعروفة (KEV) في وقت كتابة هذا الإرشاد.

التوصيات

1. الإجراء الفوري: قم بترقية misp-modules إلى إصدار مُصلح يتضمن فحوصات التفويض على blueprint الخاص بـ external_tools، أو طبّق التصحيح من المصدر (commit 28c27e30f6d3a10e38fe9c54bb52f57ccf70d027 أو ما يليه).
2. بعد التحديث، أعد تشغيل خدمة / تطبيق MISP Modules لضمان تحميل الكود المُصلح.
3. تأكد من أن واجهة إدارة موقع MISP Modules غير معرّضة للشبكات غير الموثوقة. يُفضّل ربطها بشبكات داخلية / إدارية فقط.
4. إذا كان ADMIN_PASSWORD مُكوّناً، تحقق من أن المصادقة أصبحت مفروضة على جميع نقاط نهاية إدارة الأدوات الخارجية بعد التحديث.
5. راجع الأدوات الخارجية الحالية بحثاً عن إدخالات غير متوقعة أو تكوينات معدّلة أو مفاتيح API وعناوين استيراد غير معروفة. دوّر أي مفاتيح API قد تكون تعرّضت أو تغيّرت.
6. راجع سجلات التطبيق والوصول بحثاً عن طلبات غير مصادقة إلى نقاط نهاية إدارة الأدوات الخارجية حول وبعد 12 نوفمبر 2026.
7. في حال الاشتباه في حدوث اختراق، تعامل مع المثيل على أنه مخترق: اعزله، واحفظ الأدلة الجنائية، ودوّر جميع مفاتيح API وبيانات الاعتماد ذات الصلة، وقم بمراجعة شاملة لسلامة بيئة MISP.

على الرغم من أن MISP Modules مكوّن متخصص يُستخدم أساساً في بيئات استخبارات التهديدات، إلا أن الجمع بين الوصول غير المصادق، والتأثير الحرج على تكوين الأدوات ومفاتيح API، وحساسية البيانات التي تتعامل معها منصات MISP يبرر التعامل مع هذا كتحديث ذي أولوية عالية لأي مؤسسة تشغّل البرنامج المتأثر.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.