CVE-2023-0871· NVD / CVE Program· CNA OpenNMS

An XML External Entity injection vulnerability

XXE injection in /rtc/post/ endpoint in OpenMNS Horizon 31.0.8 and versions earlier than 32.0.2 on multiple platforms is vulnerable to XML external entity (XXE) injection, which can be used for instance to force Horizon to make arbitrary HTTP requests to internal and external services. The solution is to upgrade to Meridian 2023.1.6, 2022.1.19, 2021.1.30, 2020.1.38 or Horizon 32.0.2 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet. OpenNMS thanks Erik Wynter and Moshe Apelbaum for reporting this issue.

СредняяCVSS 6.1 · v3.1—Эксплойта нет Есть исправление

GHSA-2qc8-r663-v864

Опубликовано: 11 авг. 2023 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,5 % · 44-й процентиль
CWE: CWE-611

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 24 / 40 · 6.1 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,5 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: 6,1
CNA · OpenNMS: 5,4; разница 0,7 балла

CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:L

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Затронутые системы

Вендор	Продукт	CPE
opennms	horizon	cpe:2.3:a:opennms:horizon
opennms	meridian	cpe:2.3:a:opennms:meridian

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

opennms horizon32.0.0 и новее · до 32.0.2
opennms horizon31.0.8
opennms meridian2020.0.0 и новее · до 2020.1.38
opennms meridian2021.0.0 и новее · до 2021.1.30
opennms meridian2022.1.0 и новее · до 2022.1.9
opennms meridian2023.0.0 и новее · до 2023.1.6

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (OpenNMS). Не зависят от анализа CPE в NVD и обычно опережают его.

The OpenNMS Group Horizon
- 31.0.8 и новее · до 32.0.2затронута · maven
- до 31.0.8неизвестно · maven
The OpenNMS Group Meridian
- 2023.0.0 и новее · до 2023.1.6затронута · maven
- 2022.0.0 и новее · до 2022.1.19затронута · maven
- 2021.0.0 и новее · до 2021.1.30затронута · maven
- 2020.0.0 и новее · до 2020.1.38затронута · maven

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Maven	org.opennms.core:org.opennms.core.xml	с 31.0.8 · до 32.0.2	32.0.2

Тот же продукт

opennms: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2021-3396OpenNMS Meridian 2016, 2017, 2018 before 2018.1.25, 2019 before 2019.1.16, and 2020 before 2020.1.5, Horizon 1.2 through 27.0.4, and Newts <
36Наблюдать
CVE-2023-40313Disable BeanShell Interpreter Remote Server Mode
35Наблюдать
CVE-2021-25931In OpenNMS Horizon, versions opennms-1-0-stable through opennms-27.1.0-1; OpenNMS Meridian, versions meridian-foundation-2015.1.0-1 through
35Наблюдать
CVE-2023-40315ROLE_FILESYSTEM_EDITOR Can Be Used To Escalate To ROLE_ADMIN
33Наблюдать
CVE-2023-0872ROLE_REST can be used to escalate to ROLE_ADMIN via /rest/users
33Наблюдать
CVE-2023-40612Authenticated XXE Injection Via The File Editor
32Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
The OpenNMS Group Horizon	32.0.2	Вендор (CNA)
The OpenNMS Group Meridian	2020.1.38	Вендор (CNA)
The OpenNMS Group Meridian	2021.1.30	Вендор (CNA)
The OpenNMS Group Meridian	2022.1.19	Вендор (CNA)
The OpenNMS Group Meridian	2023.1.6	Вендор (CNA)
Maven:org.opennms.core:org.opennms.core.xml	32.0.2	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

OpenNMS/opennmsPR 6355

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Moshe Apelbaumнашёл
Erik Wynterнашёл

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана кем-либо из того же сегмента сети.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: низкое · данные могут быть прочитаны
Целостность: низкое · данные или конфигурация могут быть изменены
Доступность: нет

Влияние может выйти за пределы уязвимого компонента (область действия меняется).

Вектор атаки: Смежная сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Изменяется
Влияние на конфиденциальность: Низкое
Влияние на целостность: Низкое
Влияние на доступность: Нет

Класс уязвимости (CWE)

CWE-611 · Improper Restriction of XML External Entity Reference

Вектор CVSS

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Data Serialization External Entities BlowupCAPEC-221

Техники ATT&CK

—

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:10 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Источники данных и проверка

CNA: OpenNMS

CVE.org (CNA)1 окт. 2024 г., 19:13 UTC
CISA ADP1 окт. 2024 г., 19:13 UTC
NVD17 июн. 2026 г., 01:26 UTC
FIRST EPSS29 сент. 2026 г., 00:00 UTC
OSV / GHSA30 сент. 2026 г., 03:23 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.

Вы видите все CVE. Добавьте свой стек, чтобы оставить только те, что касаются вас.

Добавьте свой стек