CVE-2026-111252
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W OpenNMS Meridian i Horizon parser XML nie ograniczał rozwinięcia encji, co pozwala na wyczerpanie pamięci serwera. Uwierzytelniony użytkownik z uprawnieniami do provisioningu może dostarczyć dokument z DOCTYPE i wewnętrznymi encjami przez requisition lub import foreign-source, powodując atak typu denial of service.
Ocena ryzyka
Atakujący z uprawnieniami do provisioningu może doprowadzić do wyczerpania pamięci i niedostępności serwera OpenNMS, co zakłóca monitorowanie infrastruktury. Ryzyko dotyczy instalacji wewnętrznych, ale może być wykorzystane przez złośliwego użytkownika wewnętrznego.
Rekomendacja
Zaktualizuj OpenNMS Meridian do wersji 2024.3.14, 2025.0.11, 2026.0.1 lub nowszej oraz Horizon do 36.0.5 lub nowszej. Upewnij się, że system nie jest bezpośrednio dostępny z Internetu.
Inne podatności w OpenNMS
Zobacz wszystkie- CVE-2015-7856Wysokie
OpenNMS posiada domyślne hasło 'rtc' dla konta rtc, co ułatwia zdalnym atakującym uzyskanie dostępu, wykorzystując znajomość tych danych uwierzytelniających.
- CVE-2026-19182Średnie
W OpenNMS Meridian i Horizon w interfejsie REST API Alarm (wersja v2) występuje nieprawidłowa kontrola autoryzacji. Użytkownik z niskimi uprawnieniami (ROLE_REST) może potwierdzać, eskalować lub czyścić alarmy przypisane do dowolnej nazwy użytkownika, a przy dodatkowej roli ROLE_READONLY może modyfikować stan alarmów mimo ograniczeń tylko do odczytu. Warunek sprawdzania poświadczeń jest odwrócony, przez co nie wykonuje się dla prawdziwych nazw użytkownika.
- CVE-2026-19135Średnie
W wielu wersjach OpenNMS Meridian i Horizon występuje obejście sandboxa wyrażeń JEXL. Użytkownik z niskimi uprawnieniami może przesłać spreparowane wyrażenie do interfejsu Measurements REST API, które opuszcza sandbox i ładuje dowolne klasy Java na serwerze. Może to pozwolić na dostęp do poufnych informacji i naruszenie integralności.
Oryginalny opis (angielski, źródło NVD)
A denial of service vulnerability exists in the XML parsing of multiple versions of OpenNMS Meridian and Horizon. OpenNMS parsed XML without an effective limit on entity expansion. A document with a DOCTYPE that declares internal entities can expand to a very large value and exhaust the server memory. An authenticated user with provisioning access can supply such a document through a requisition or foreign-source import, which includes a remote requisition URL that the server fetches and parses. Both deeply nested entities and a single large entity referenced many times cause the memory exhaustion. The fix caps the number of entity expansions for all XML parsing and rejects any DOCTYPE in requisition and foreign-source XML. The solution is to upgrade to Meridian 2024.3.14, 2025.0.11, 2026.0.1 and Horizon 36.0.5 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS