Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la configuración del canal ActiveMQ en OpenNMS Horizon y Meridian (CVE-2020-12760)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-502 Deserialización de datos no confiables
Fecha de publicación:
11/05/2020
Última modificación:
13/05/2020

Descripción

Se detectó un problema en OpenNMS Horizon versiones anteriores a 26.0.1 y Meridian versiones anteriores a 2018.1.19 y versiones 2019 anteriores a 2019.1.7. La configuración del canal ActiveMQ permitió la deserialización arbitraria de objetos Java (también se conoce cmo deserialización de la carga útil de ActiveMQ Minion), conllevando a una ejecución de código remota para cualquier usuario del canal autenticado, sin importar sus permisos asignados.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:opennms:opennms_horizon:*:*:*:*:*:*:*:* 26.1.0 (excluyendo)
cpe:2.3:a:opennms:opennms_meridian:*:*:*:*:*:*:*:* 2018.1.19 (excluyendo)
cpe:2.3:a:opennms:opennms_meridian:*:*:*:*:*:*:*:* 2019 (incluyendo) 2019.1.7 (excluyendo)