🇰🇷 한글 설명
OpenNMS Horizon의 REST API에서 PATCH 메서드에 대한 권한 검증이 누락되어 인증 없이 설정 변경이 가능한 취약점입니다. 공격자는 이를 통해 이벤트 정의 및 SNMP 데이터 수집 기능을 비활성화하여 모니터링 및 탐지 시스템을 무력화할 수 있습니다.
💡 쉬운 설명
로그인 없이도 시스템의 중요한 설정을 마음대로 바꿀 수 있는 보안 구멍이 발견되었습니다. 해커가 이 구멍을 이용해 경고 알람을 꺼버리면 시스템에 문제가 생겨도 아무런 알림을 받을 수 없게 됩니다.
🇺🇸 원문 (English)
A missing authorization vulnerability in OpenNMS Horizon allows configuration changes without authentication. The Spring Security policy for the /api/v2 REST API defines authorization rules for every HTTP method except PATCH, so the shipped @PATCH configuration endpoints for event configuration and SNMP data collection (which enable and disable event definitions and data-collection sources) are reachable with no authorization enforced. An unauthenticated attacker able to reach the web UI can disable event definitions and SNMP data collection, suppressing event and alarm generation and stopping metric collection - silently degrading monitoring and detection - with the change persisted and reloaded into the running system.
The solution is to upgrade to Horizon 36.0.4 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.
📍 영향받는 시스템
OpenNMS Horizon (36.0.4 미만 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 웹 UI를 통해 /api/v2 REST API의 PATCH 메서드를 호출하여 설정 변경
🛡️ 대응 방법
OpenNMS Horizon을 36.0.4 버전 이상으로 업그레이드하고, 시스템을 외부 인터넷이 아닌 사설 네트워크 내에서만 접근 가능하도록 제한
🔧 검증 코드
명령어 결과에 출력되는 버전 번호가 36.0.4보다 낮으면 취약한 상태입니다.
curl -s http://<target_ip>/opennms/api/v2/version | grep -E '36\[\.\d+\.\d+\]'