Podatności OpenNMS Meridian and Horizon

Występuje podatność obejścia autoryzacji w interfejsie REST API wielu wersji OpenNMS Meridian i Horizon. Łańcuchy filtrów Spring Security dla /rest/** autoryzują żądania za pomocą reguł intercept-url, które nazywają metodę HTTP wielkimi literami, porównują metodę z rozróżnianiem wielkości liter i nie mają końcowej reguły odmowy. Żądanie używające niekanonicznego (np. małymi literami) tokenu metody nie pasuje do żadnej reguły i jest przetwarzane bez uwierzytelniania. Zdalny, nieuwierzytelniony atakujący może odczytać monitorowany inwentarz oraz tworzyć, modyfikować lub usuwać zasoby przez REST API, w tym wstrzykiwać zdarzenia w celu fabrykowania lub tłumienia alarmów. Łańcuch /rest/alarms ma tę samą brakującą regułę odmowy i ujawnia, czy alarm istnieje, poprzez różnicę w odpowiedzi. Poprawka dodaje końcową regułę odmowy do każdego łańcucha filtrów REST. Rozwiązaniem jest aktualizacja do Meridian 2024.3.14, 2025.0.11, 2026.0.1 i Horizon 36.0.5 lub nowszych. Instrukcje instalacji Meridian i Horizon wskazują, że są przeznaczone do instalacji w sieciach prywatnych organizacji i nie powinny być bezpośrednio dostępne z Internetu.

W funkcji raportowania opartej na JasperReports w wielu wersjach OpenNMS Meridian i Horizon istnieje podatność na wstrzyknięcie SQL. Użytkownik z niskimi uprawnieniami (ROLE_USER) może uruchomić domyślnie włączone raporty online "Maintenance contracts expired" i "Maintenance contracts strategy" przez API REST (POST /rest/reports/{id}) i dostarczyć parametr DATE_FORMAT, który szablony raportów wstawiają dosłownie, bez escapowania, do zapytań SQL, co pozwala na wykonanie dowolnego SQL i odczyt danych, w tym poświadczeń.

W kolektorze XML wielu wersji OpenNMS Meridian i Horizon istnieje podatność XML External Entity (XXE). Gdy OpenNMS pobiera XML ze źródła, którego odpowiedź jest kontrolowana przez atakującego (np. przejęty monitorowany host lub pozycja man-in-the-middle HTTP), parser XML kolektora rozwiązuje zewnętrzne encje i zewnętrzne DTD. Pozwala to atakującemu na odczyt plików dostępnych dla konta usługi OpenNMS, w tym poświadczeń do bazy danych, oraz na wywoływanie żądań out-of-band.