CVE-2026-19596
Açıklama
OpenNMS Meridian ve Horizon'ın birden fazla sürümünün XML kolektöründe bir XML Harici Varlık (XXE) zafiyeti bulunmaktadır. OpenNMS, yanıtı saldırgan tarafından kontrol edilen bir kaynaktan (örneğin ele geçirilmiş izlenen bir ana bilgisayar veya bir HTTP ortadaki adam konumu) XML topladığında, kolektörün XML ayrıştırıcısı harici varlıkları ve harici DTD'leri çözümlemektedir. Bu durum, bir saldırganın veritabanı kimlik bilgileri dahil olmak üzere OpenNMS servis hesabının erişebildiği dosyaları okumasına ve bant dışı istekler oluşturmasına olanak tanır. Çözüm; Meridian 2024.3.13, 2025.0.10 ve Horizon 36.0.4 veya daha yeni sürümlere yükseltme yapmaktır. Meridian ve Horizon kurulum talimatları, bu ürünlerin bir kuruluşun özel ağları içinde kurulmak üzere tasarlandığını ve İnternet üzerinden doğrudan erişilebilir olmaması gerektiğini belirtmektedir.
Nasıl düzeltilir
- The OpenNMS Group Meridian2024.3.13, 2025.0.10 ya da sonraki bir sürüm
- The OpenNMS Group Horizon36.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| The OpenNMS Group Meridian | 2024.1.0 ≤ v < 2024.3.13, 2025.0.0 ≤ v < 2025.0.10 | 2024.3.13, 2025.0.10 |
| The OpenNMS Group Horizon | 36.0.0 ≤ v < 36.0.4 | 36.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.