OpenNMS遠程命令執行漏洞通告
發布時間 2020-05-100x00 漏洞概述
0x01 漏洞詳情
OpenNMS是美國OpenNMS公司的一套企業級的、基于Java/XML的分布式網絡和系統監控管理平臺。該平臺能夠顯示網絡中各種終端和服務器的狀態和配置。
OpenNMS可基于Minions進行分布式安裝。 Minion中采用了用于ActiveMQ雙向客戶端通信的MQ通道，在安裝手冊中，必須添加具有安全角色ROLE_MINION的minion用戶。此帳戶用于遠程minion站進行身份驗證，并通過MQchannel進行通信，默認監聽Horizon基站上的tcp/61616端口。
Minion中存在Java反序列化遠程命令執行漏洞。在知道Minion用戶名和密碼的情況下，可以進行Java反序列化遠程命令執行。這里使用的gadget是CommonsBeanutils1，如圖所示：
在Horizon基站上的shell顯示了JDK版本，并通過MQ通道發送序列化payload之后，成功創建了RCE的文件路徑，如圖所示：
0x02 處置建議
目前廠商已發布新版本修復漏洞（Horizon 26.0.1、Meridian 2019.1.6、Meridian 2018.1.18），請受影響用戶盡快下載更新，下載鏈接：
https://issues.opennms.org/browse/NMS-12673
0x03 參考鏈接
https://issues.opennms.org/browse/NMS-12673
0x04 時間線
2020-05-10 VSRC發布漏洞通告
京公網安備11010802024551號