CVE-2026-89089 in Horizon
要約
〜によって VulDB • 2026年09月10日
OpenNMS MeridianおよびHorizonの複数のバージョンに含まれるJasperReportsベースのレポート機能には、SQLインジェクション脆弱性が存在します。低権限の認証済みユーザー（ROLE_USER）は、レポートREST API（POST /rest/reports/{id}）を介して出荷時のデフォルトで有効になっているオンラインレポート「Maintenance contracts expired」（AssetManagementMaintExpired）および「Maintenance contracts strategy」（AssetManagementMaintStrategy）を実行し、DATE_FORMATパラメータを提供できます。このパラメータはレポートテンプレートによってエスケープされずにそのままSQLクエリに置換されるため、攻撃者はOpenNMSデータベースに対して任意のSQLを実行し、プロビジョニングや通知の資格情報、SNMPコミュニティ文字列などのデータベース格納シークレットを含む任意のデータを読み取ることができます。
解決策は、Meridian 2024.3.13、2025.0.10、およびHorizon 36.0.4以降にアップグレードすることです。MeridianとHorizonのインストール手順には、これらが組織内のプライベートネットワーク内でインストールすることを意図しており、インターネットから直接アクセスできないようにする必要があることが記載されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.