CVE-2026-19135
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W wielu wersjach OpenNMS Meridian i Horizon występuje obejście sandboxa wyrażeń JEXL. Użytkownik z niskimi uprawnieniami może przesłać spreparowane wyrażenie do interfejsu Measurements REST API, które opuszcza sandbox i ładuje dowolne klasy Java na serwerze. Może to pozwolić na dostęp do poufnych informacji i naruszenie integralności.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych i naruszyć integralność systemu, co może prowadzić do poważnych kompromitacji.
Rekomendacja
Należy zaktualizować OpenNMS do wersji Meridian 2024.3.12, 2025.0.9 lub Horizon 36.0.3 albo nowszej. Zaleca się również, aby systemy nie były bezpośrednio dostępne z Internetu.
Oryginalny opis (angielski, źródło NVD)
A JEXL expression sandbox bypass exists in multiple versions of OpenNMS Meridian and Horizon. A low-privileged authenticated user can submit a crafted expression to the Measurements REST API that escapes the sandbox and loads arbitrary Java classes on the server. This can potentially allow an attacker to gain access to confidential information and compromise integrity. The solution is to upgrade to Meridian 2024.3.12, 2025.0.9 and Horizon 36.0.3 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.