CVE-2026-111235
KrytyczneCVSS 9.1Streszczenie
Występuje podatność obejścia autoryzacji w interfejsie REST API wielu wersji OpenNMS Meridian i Horizon. Łańcuchy filtrów Spring Security dla /rest/** autoryzują żądania za pomocą reguł intercept-url, które nazywają metodę HTTP wielkimi literami, porównują metodę z rozróżnianiem wielkości liter i nie mają końcowej reguły odmowy. Żądanie używające niekanonicznego (np. małymi literami) tokenu metody nie pasuje do żadnej reguły i jest przetwarzane bez uwierzytelniania. Zdalny, nieuwierzytelniony atakujący może odczytać monitorowany inwentarz oraz tworzyć, modyfikować lub usuwać zasoby przez REST API, w tym wstrzykiwać zdarzenia w celu fabrykowania lub tłumienia alarmów. Łańcuch /rest/alarms ma tę samą brakującą regułę odmowy i ujawnia, czy alarm istnieje, poprzez różnicę w odpowiedzi. Poprawka dodaje końcową regułę odmowy do każdego łańcucha filtrów REST. Rozwiązaniem jest aktualizacja do Meridian 2024.3.14, 2025.0.11, 2026.0.1 i Horizon 36.0.5 lub nowszych. Instrukcje instalacji Meridian i Horizon wskazują, że są przeznaczone do instalacji w sieciach prywatnych organizacji i nie powinny być bezpośrednio dostępne z Internetu.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytywać i modyfikować dane monitoringu oraz manipulować alarmami, co może prowadzić do fałszywego obrazu stanu infrastruktury i działań na zasobach.
Rekomendacja
Zaktualizuj OpenNMS Meridian do wersji 2024.3.14, 2025.0.11, 2026.0.1 lub Horizon 36.0.5 (lub nowszych) i upewnij się, że instancje nie są bezpośrednio dostępne z Internetu.
Inne podatności w OpenNMS Meridian and Horizon
Zobacz wszystkie- CVE-2026-89089Średnie
W funkcji raportowania opartej na JasperReports w wielu wersjach OpenNMS Meridian i Horizon istnieje podatność na wstrzyknięcie SQL. Użytkownik z niskimi uprawnieniami (ROLE_USER) może uruchomić domyślnie włączone raporty online "Maintenance contracts expired" i "Maintenance contracts strategy" przez API REST (POST /rest/reports/{id}) i dostarczyć parametr DATE_FORMAT, który szablony raportów wstawiają dosłownie, bez escapowania, do zapytań SQL, co pozwala na wykonanie dowolnego SQL i odczyt danych, w tym poświadczeń.
- CVE-2026-19596Średnie
W kolektorze XML wielu wersji OpenNMS Meridian i Horizon istnieje podatność XML External Entity (XXE). Gdy OpenNMS pobiera XML ze źródła, którego odpowiedź jest kontrolowana przez atakującego (np. przejęty monitorowany host lub pozycja man-in-the-middle HTTP), parser XML kolektora rozwiązuje zewnętrzne encje i zewnętrzne DTD. Pozwala to atakującemu na odczyt plików dostępnych dla konta usługi OpenNMS, w tym poświadczeń do bazy danych, oraz na wywoływanie żądań out-of-band.
Oryginalny opis (angielski, źródło NVD)
An authorization bypass vulnerability exists in the REST API of multiple versions of OpenNMS Meridian and Horizon. The /rest/** Spring Security filter chains authorize requests with intercept-url rules that name the HTTP method as an uppercase token, compare the method case-sensitively, and have no terminal deny rule. A request that uses a non-canonical (for example lowercase) method token matches no rule and is processed without authentication. A remote, unauthenticated attacker can read the monitored inventory and can create, modify, or delete resources through the REST API, which includes injecting events to fabricate or suppress alarms. The /rest/alarms chain has the same missing deny rule and discloses whether an alarm exists through a difference in the response. The fix adds a terminal deny rule to each REST filter chain. The solution is to upgrade to Meridian 2024.3.14, 2025.0.11, 2026.0.1 and Horizon 36.0.5 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS