CVE-2026-89089
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W funkcji raportowania opartej na JasperReports w wielu wersjach OpenNMS Meridian i Horizon istnieje podatność na wstrzyknięcie SQL. Użytkownik z niskimi uprawnieniami (ROLE_USER) może uruchomić domyślnie włączone raporty online "Maintenance contracts expired" i "Maintenance contracts strategy" przez API REST (POST /rest/reports/{id}) i dostarczyć parametr DATE_FORMAT, który szablony raportów wstawiają dosłownie, bez escapowania, do zapytań SQL, co pozwala na wykonanie dowolnego SQL i odczyt danych, w tym poświadczeń.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może odczytać dowolne dane z bazy OpenNMS, w tym poufne poświadczenia i ciągi społeczności SNMP, co może prowadzić do dalszej kompromitacji infrastruktury.
Rekomendacja
Należy zaktualizować OpenNMS Meridian do wersji 2024.3.13 lub 2025.0.10, a Horizon do wersji 36.0.4 lub nowszej, oraz upewnić się, że systemy nie są bezpośrednio dostępne z Internetu.
Inne podatności w OpenNMS Meridian and Horizon
Zobacz wszystkie- CVE-2026-111235Krytyczne
Występuje podatność obejścia autoryzacji w interfejsie REST API wielu wersji OpenNMS Meridian i Horizon. Łańcuchy filtrów Spring Security dla /rest/** autoryzują żądania za pomocą reguł intercept-url, które nazywają metodę HTTP wielkimi literami, porównują metodę z rozróżnianiem wielkości liter i nie mają końcowej reguły odmowy. Żądanie używające niekanonicznego (np. małymi literami) tokenu metody nie pasuje do żadnej reguły i jest przetwarzane bez uwierzytelniania. Zdalny, nieuwierzytelniony atakujący może odczytać monitorowany inwentarz oraz tworzyć, modyfikować lub usuwać zasoby przez REST API, w tym wstrzykiwać zdarzenia w celu fabrykowania lub tłumienia alarmów. Łańcuch /rest/alarms ma tę samą brakującą regułę odmowy i ujawnia, czy alarm istnieje, poprzez różnicę w odpowiedzi. Poprawka dodaje końcową regułę odmowy do każdego łańcucha filtrów REST. Rozwiązaniem jest aktualizacja do Meridian 2024.3.14, 2025.0.11, 2026.0.1 i Horizon 36.0.5 lub nowszych. Instrukcje instalacji Meridian i Horizon wskazują, że są przeznaczone do instalacji w sieciach prywatnych organizacji i nie powinny być bezpośrednio dostępne z Internetu.
- CVE-2026-19596Średnie
W kolektorze XML wielu wersji OpenNMS Meridian i Horizon istnieje podatność XML External Entity (XXE). Gdy OpenNMS pobiera XML ze źródła, którego odpowiedź jest kontrolowana przez atakującego (np. przejęty monitorowany host lub pozycja man-in-the-middle HTTP), parser XML kolektora rozwiązuje zewnętrzne encje i zewnętrzne DTD. Pozwala to atakującemu na odczyt plików dostępnych dla konta usługi OpenNMS, w tym poświadczeń do bazy danych, oraz na wywoływanie żądań out-of-band.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability exists in the JasperReports-based reporting feature of multiple versions of OpenNMS Meridian and Horizon. A low-privileged authenticated user (ROLE_USER) can run the shipped, default-enabled online reports "Maintenance contracts expired" (AssetManagementMaintExpired) and "Maintenance contracts strategy" (AssetManagementMaintStrategy) via the reporting REST API (POST /rest/reports/{id}) and supply a DATE_FORMAT parameter that the report templates substitute literally, un-escaped, into their SQL queries. This lets an attacker execute arbitrary SQL against the OpenNMS database and read arbitrary data, including database-stored secrets such as provisioning and notification credentials and SNMP community strings. The solution is to upgrade to Meridian 2024.3.13, 2025.0.10 and Horizon 36.0.4 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS