OpenNMS Horizon RCE via JEXL2 expression

高 8.8CVE-2021-3396 · GHSA-c3mp-9vx3-2rvv · 17/02/2021 公開 · 17/06/2026 更新

要点

CVE-2021-3396 は org.opennms.features:org.opennms.features.measurements, org.opennms:opennms, org.opennms:opennms-provision に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.4%（全脆弱性の 83.8% より高い）。
対処：27.0.4, 2018.1.25, 2019.1.16, 2020.1.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.opennms.features:org.opennms.features.measurements Maven	`≥ 16.0.0, < 27.0.4`	`27.0.4`
org.opennms:opennms Maven	`≥ 16.0.0, < 27.0.4`	`27.0.4`
org.opennms:opennms-provision Maven	`≥ 16.0.0, < 27.0.4`	`27.0.4`
org.opennms:opennms-util Maven	`≥ 16.0.0, < 27.0.4`	`27.0.4`
horizon opennms	`≥ 16.0.0, ≤ 27.0.3`	修正版なし
meridian opennms	`≥ 2016.1.0, ≤ 2016.1.24≥ 2017.1.0, ≤ 2017.1.26≥ 2018.1.0, < 2018.1.25≥ 2019.1.0, < 2019.1.16≥ 2020.1.0, < 2020.1.5`	`2018.1.252019.1.162020.1.5`
newts opennms	`< 1.5.3`	`1.5.3`

概要

OpenNMS Meridian 2016, 2017, 2018 before 2018.1.25, 2019 before 2019.1.16, and 2020 before 2020.1.5, Horizon 1.2 through 27.0.4, and Newts <1.5.3 has Incorrect Access Control, which allows local and remote code execution using JEXL expressions.

NVD の説明

参考情報

nvd.nist.gov/vuln/detail/CVE-2021-3396 · ADVISORY
OpenNMS/opennms#3281 · WEB
issues.opennms.org/browse/NMS-13103 · WEB
opennms.com/en/blog/2021-02-16-cve-2021-3396-full-security-disclosure · WEB
opennms.com · Vendor Advisory
opennms.com/en/blog/2021-02-16-cve-2021-3396-full-security-disclosure · Vendor Advisory

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2021-3396 は org.opennms.features:org.opennms.features.measurements, org.opennms:opennms, org.opennms:opennms-provision に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。

今後30日間に悪用される確率（EPSS）：2.4%（全脆弱性の 83.8% より高い）。

対処：27.0.4, 2018.1.25, 2019.1.16, 2020.1.5 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

org.opennms.features:org.opennms.features.measurements

Maven

≥ 16.0.0, < 27.0.4

27.0.4

org.opennms:opennms

Maven

≥ 16.0.0, < 27.0.4