OpenNMS远程下令执行误差通告

宣布时间 2020-05-10

0x00 误差概述


南宫NG娱乐(中国)官方网站


0x01 误差详情


南宫NG娱乐(中国)官方网站


OpenNMS是美国OpenNMS公司的一套企业级的、基于Java/XML的漫衍式网络和系统监控治理平台。。。。。该平台能够显示网络中种种终端和效劳器的状态和设置。。。。。

OpenNMS可基于Minions举行漫衍式装置。。。。。 Minion中接纳了用于ActiveMQ双向客户端通讯的MQ通道，， ，，，，在装置手册中，， ，，，，必需添加具有清静角色ROLE_MINION的minion用户。。。。。此帐户用于远程minion站举行身份验证，， ，，，，并通过MQchannel举行通讯，， ，，，，默认监听Horizon基站上的tcp/61616端口。。。。。

Minion中保存Java反序列化远程下令执行误差。。。。。在知道Minion用户名和密码的情形下，， ，，，，可以举行Java反序列化远程下令执行。。。。。这里使用的gadget是CommonsBeanutils1，， ，，，，如图所示：


南宫NG娱乐(中国)官方网站


在Horizon基站上的shell显示了JDK版本，， ，，，，并通过MQ通道发送序列化payload之后，， ，，，，乐成建设了RCE的文件路径，， ，，，，如图所示：


南宫NG娱乐(中国)官方网站


0x02 处置惩罚建议


现在厂商已宣布新版本修复误差（Horizon 26.0.1、Meridian 2019.1.6、Meridian 2018.1.18），， ，，，，请受影响用户尽快下载更新，， ，，，，下载链接：

https://issues.opennms.org/browse/NMS-12673


0x03 参考链接


https://issues.opennms.org/browse/NMS-12673


0x04 时间线


2020-05-10 VSRC宣布误差通告


南宫NG娱乐(中国)官方网站