CVE-2026-89054 in Horizon
요약
\~에 의해 VulDB • 2026. 09. 10.
OpenNMS Horizon의 인증 누락 취약점으로 인해, 인증 없이 구성 변경이 가능합니다. /api/v2 REST API에 대한 Spring Security 정책은 PATCH를 제외한 모든 HTTP 메서드에 대해 권한 부여 규칙을 정의하지만, 이벤트 구성 및 SNMP 데이터 수집(이벤트 정의와 데이터 수집 소스를 활성화/비활성화하는)을 위한 제공된 @PATCH 구성 엔드포인트는 강제되는 인증 없이 접근 가능합니다. 웹 UI에 도달할 수 있는 비인증 공격자는 이벤트 정의와 SNMP 데이터 수집을 비활성화하여, 이벤트 및 경고 생성을 억제하고 메트릭 수집을 중단함으로써 모니터링과 탐지 기능을 조용히 저하시킬 수 있으며, 이러한 변경 사항은 영구적으로 저장되어 실행 중인 시스템으로 다시 로드됩니다.
해결책은 Horizon 36.0.4 이상으로 업그레이드하는 것입니다. Meridian 및 Horizon 설치 지침에는 이 소프트웨어들이 조직의 사설 네트워크 내에서 설치를 목적으로 하며 인터넷에서 직접 접근해서는 안 된다고 명시되어 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.