OpenNMS - CVE-2026-111235

Il s’agit d’une vulnérabilité dans les chaînes de filtres Spring Security de l’API REST (/rest/) d’OpenNMS Meridian et d’Horizon.

OpenNMS est une plateforme open source de supervision réseau et de gestion d’événements. Horizon est l’édition communautaire à cycle de publication rapide. Meridian est l’édition supportée, accessible sur abonnement. Elles collectent des métriques, gèrent des alarmes et exposent une API REST.

Les règles intercept-url désignent la méthode HTTP en majuscules. Elles comparent la méthode en respectant la casse. Aucune règle de refus final n’existe. Une requête avec une méthode non canonique, par exemple en minuscules, ne correspond à aucune règle. Elle est alors traitée sans authentification. La chaîne /rest/alarms présente la même absence de règle de refus. Elle révèle en plus l’existence d’une alarme par une différence de réponse. Le correctif ajoute une règle de refus final à chaque chaîne REST. Les instructions d’installation précisent que les produits doivent rester dans des réseaux privés.

Elle permet à un attaquant distant non authentifié de lire l’inventaire supervisé, de créer, modifier ou supprimer des ressources et d’injecter des événements pour fabriquer ou masquer des alarmes.