OpenCTI vulnerable a Denegación de Servicio a través de web hook

La explotación de esta vulnerabilidad permite a un atacante causar una denegación de servicio significativa en la plataforma OpenCTI. Al editar un webhook y ejecutar código JavaScript malicioso, el atacante puede provocar una contaminación de prototipos, lo que lleva a la inestabilidad y eventual fallo del servidor Node.js que aloja el frontend de OpenCTI. Esto interrumpe la capacidad de los usuarios para acceder a la plataforma y gestionar la inteligencia de amenazas, impactando potencialmente en las operaciones de seguridad de la organización. La severidad del impacto depende de la criticidad de OpenCTI dentro de la infraestructura de seguridad de la organización.

Organizations heavily reliant on OpenCTI for threat intelligence management are at significant risk. Specifically, deployments where multiple users have permissions to manage customizations, or where webhook integrations are not properly secured, are particularly vulnerable. Shared hosting environments running OpenCTI also pose a higher risk due to the potential for cross-tenant attacks.

• nodejs: Monitor OpenCTI logs for errors related to prototype pollution or unexpected crashes in the Node.js process. Use journalctl -u opencti to filter for relevant error messages. • nodejs: Use ps aux | grep node to monitor Node.js processes and check for unusual CPU or memory usage that might indicate an ongoing attack. • generic web: Examine OpenCTI access logs for unusual webhook requests or attempts to modify webhook configurations from unauthorized IP addresses. Use grep -i webhook /var/log/nginx/access.log (adjust path as needed). • generic web: Review OpenCTI error logs for any JavaScript errors or exceptions related to prototype pollution. Check /var/log/opencti/error.log (adjust path as needed).

1. 2025-05-19Disclosure

   disclosure

1. Reservado2025-02-12
2. Publicada2025-05-19
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-26621 es actualizar OpenCTI a la versión 6.5.2 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, se recomienda restringir los permisos de gestión de personalizaciones a usuarios de confianza. Implementar una validación estricta de la entrada del webhook puede ayudar a prevenir la inyección de código malicioso. Monitorear los logs del servidor Node.js en busca de patrones inusuales de consumo de recursos o errores relacionados con la contaminación de prototipos puede ayudar a detectar la explotación. Después de la actualización, confirme la mitigación revisando los logs del sistema y verificando que los webhooks no puedan ser modificados por usuarios no autorizados.