CVE-2026-89089
Açıklama
OpenNMS Meridian ve Horizon'ın birden fazla sürümünün JasperReports tabanlı raporlama özelliğinde bir SQL injection zafiyeti bulunmaktadır. Düşük yetkili kimliği doğrulanmış bir kullanıcı (ROLE_USER), raporlama REST API'si (POST /rest/reports/{id}) üzerinden varsayılan olarak etkin gelen "Maintenance contracts expired" (AssetManagementMaintExpired) ve "Maintenance contracts strategy" (AssetManagementMaintStrategy) çevrimiçi raporlarını çalıştırabilir ve rapor şablonlarının SQL sorgularına kaçış karakterleri uygulanmadan doğrudan yerleştirdiği bir DATE_FORMAT parametresi sağlayabilir. Bu durum, bir saldırganın OpenNMS veritabanı üzerinde keyfi SQL komutları yürütmesine ve kurulum ile bildirim kimlik bilgileri ve SNMP topluluk dizgeleri gibi veritabanında saklanan gizli bilgiler dahil olmak üzere keyfi verileri okumasına olanak tanır. Çözüm; Meridian 2024.3.13, 2025.0.10 ve Horizon 36.0.4 veya daha yeni sürümlere yükseltme yapmaktır. Meridian ve Horizon kurulum talimatları, bu ürünlerin bir kuruluşun özel ağları içinde kurulmak üzere tasarlandığını ve internetten doğrudan erişilebilir olmaması gerektiğini belirtmektedir.
Nasıl düzeltilir
- The OpenNMS Group Meridian2024.3.13, 2025.0.10 ya da sonraki bir sürüm
- The OpenNMS Group Horizon36.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| The OpenNMS Group Meridian | 2024.1.0 ≤ v < 2024.3.13, 2025.0.0 ≤ v < 2025.0.10 | 2024.3.13, 2025.0.10 |
| The OpenNMS Group Horizon | 36.0.0 ≤ v < 36.0.4 | 36.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.