CVE-2026-19182 in Meridian
要約
〜によって VulDB • 2026年08月13日
OpenNMS MeridianおよびHorizonのv2 Alarm REST APIにおける認可チェックの不備により、低権限の認証済みユーザー（ROLE_REST）が任意のユーザー名として記録されたアラームの確認、エスカレーション、またはクリアを行うことができます。さらに、ROLE_READONLYも割り当てられている場合、読み取り専用制限にもかかわらずアラーム状態を変更することが可能です。これらの操作を制限すべき資格情報チェックは逆条件によって保護されているため、実際の（空でない）ユーザー名では実行されません。これにより、攻撃者がアラーム状態および監査レコードの整合性を侵害する可能性があります。
解決策として、Meridian 2024.3.12、2025.0.9、Horizon 36.0.3以降にアップグレードしてください。MeridianおよびHorizonのインストール手順には、これらが組織内のプライベートネットワーク内でインストールすることを意図しており、インターネットから直接アクセスできないようにすべきであると記載されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.