CVE-2026-111235 in Meridian
Zusammenfassung
von VulDB • 15.10.2026
In der REST-API mehrerer Versionen von OpenNMS Meridian und Horizon besteht eine Schwachstelle zur Umgehung der Autorisierung. Die Spring Security-Filterketten für /rest/** autorisieren Anfragen mit intercept-url-Regeln, die die HTTP-Methode als Großbuchstaben-Token angeben, den Methodenvergleich case-sensitiv (Groß-/Kleinschreibung beachten) durchführen und keine abschließende Abweisungsregel („terminal deny rule“) enthalten. Eine Anfrage, die ein nicht-kanaonisches (z. B. kleingeschriebenes) Methodentoken verwendet, stimmt mit keiner Regel überein und wird ohne Authentifizierung verarbeitet. Ein entfernter, nicht authentifizierter Angreifer kann das überwachte Inventar lesen sowie Ressourcen über die REST-API erstellen, ändern oder löschen; dies umfasst auch das Einfügen von Ereignissen zur Fälschung oder Unterdrückung von Alarmen. Die /rest/alarms-Kette weist dieselbe fehlende Abweisungsregel auf und offenbart durch einen Unterschied in der Antwort, ob ein Alarm existiert. Die Korrektur fügt jeder REST-Filterkette eine abschließende Abweisungsregel hinzu.
Die Lösung besteht im Upgrade auf Meridian 2024.3.14, 2025.0.11, 2026.0.1 und Horizon 36.0.5 oder neuer. Die Installationsanweisungen für Meridian und Horizon geben an, dass sie für die Installation innerhalb privater Netzwerke einer Organisation vorgesehen sind und nicht direkt aus dem Internet erreichbar sein sollten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.