CVE-2026-19135
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W wielu wersjach OpenNMS Meridian i Horizon występuje obejście sandboxa wyrażeń JEXL. Użytkownik z niskimi uprawnieniami może przesłać spreparowane wyrażenie do interfejsu Measurements REST API, które opuszcza sandbox i ładuje dowolne klasy Java na serwerze. Może to pozwolić na dostęp do poufnych informacji i naruszenie integralności.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych i naruszyć integralność systemu, co może prowadzić do poważnych kompromitacji.
Rekomendacja
Należy zaktualizować OpenNMS do wersji Meridian 2024.3.12, 2025.0.9 lub Horizon 36.0.3 albo nowszej. Zaleca się również, aby systemy nie były bezpośrednio dostępne z Internetu.
Inne podatności w OpenNMS
Zobacz wszystkie- CVE-2015-7856Wysokie
OpenNMS posiada domyślne hasło 'rtc' dla konta rtc, co ułatwia zdalnym atakującym uzyskanie dostępu, wykorzystując znajomość tych danych uwierzytelniających.
- CVE-2026-19182Średnie
W OpenNMS Meridian i Horizon w interfejsie REST API Alarm (wersja v2) występuje nieprawidłowa kontrola autoryzacji. Użytkownik z niskimi uprawnieniami (ROLE_REST) może potwierdzać, eskalować lub czyścić alarmy przypisane do dowolnej nazwy użytkownika, a przy dodatkowej roli ROLE_READONLY może modyfikować stan alarmów mimo ograniczeń tylko do odczytu. Warunek sprawdzania poświadczeń jest odwrócony, przez co nie wykonuje się dla prawdziwych nazw użytkownika.
Oryginalny opis (angielski, źródło NVD)
A JEXL expression sandbox bypass exists in multiple versions of OpenNMS Meridian and Horizon. A low-privileged authenticated user can submit a crafted expression to the Measurements REST API that escapes the sandbox and loads arbitrary Java classes on the server. This can potentially allow an attacker to gain access to confidential information and compromise integrity. The solution is to upgrade to Meridian 2024.3.12, 2025.0.9 and Horizon 36.0.3 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS