CVE-2026-111252 in Meridian
Zusammenfassung
von VulDB • 16.10.2026
In der XML-Verarbeitung mehrerer Versionen von OpenNMS Meridian und Horizon besteht eine Schwachstelle für Denial of Service (DoS). OpenNMS hat XML ohne wirksame Begrenzung der Entity-Erweiterung analysiert. Ein Dokument mit einem DOCTYPE, das interne Entities deklariert, kann sich auf einen sehr großen Wert ausdehnen und den Serverspeicher erschöpfen. Ein authentifizierter Benutzer mit Bereitstellungsaccess (Provisioning Access) kann ein solches Dokument über eine Requisition oder einen Import einer Foreign-Source bereitstellen, die eine Remote-Requisitions-URL enthält, die der Server abruft und analysiert. Sowohl tief verschachtelte Entities als auch eine einzelne große Entity, die häufig referenziert wird, verursachen den Speichererschöpfungszustand (Memory Exhaustion). Die Korrektur begrenzt die Anzahl der Entity-Erweiterungen für alle XML-Parsering-Vorgänge und lehnt jeden DOCTYPE in Requisitions- und Foreign-Source-XML ab.
Die Lösung besteht darin, auf Meridian 2024.3.14, 2025.0.11, 2026.0.1 oder Horizon 36.0.5 bzw. neuer zu aktualisieren. Die Installationsanweisungen für Meridian und Horizon besagen, dass sie zur Installation innerhalb privater Netzwerke einer Organisation bestimmt sind und nicht direkt aus dem Internet zugänglich sein sollten.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.