OpenNMS远程号令执行缝隙公告
颁布功夫 2020-05-100x00 缝隙概述
0x01 缝隙详情
OpenNMS是美国OpenNMS公司的一套企业级的、基于Java/XML的散布式网络和系统监控治理平台。。。。。。。。该平台可能显示网络中各类终端和服务器的状态和配置。。。。。。。。
OpenNMS可基于Minions进行散布式装置。。。。。。。。 Minion当选取了用于ActiveMQ双向客户端通讯的MQ通路，，，， ，，，在装置手册中，，，， ，，，必须增长拥有安全角色ROLE_MINION的minion用户。。。。。。。。此帐户用于远程minion站进行身份验证，，，， ，，，并通过MQchannel进行通讯，，，， ，，，默认监听Horizon基站上的tcp/61616端口。。。。。。。。
Minion中存在Java反序列化远程号令执行缝隙。。。。。。。。在知路Minion用户名和密码的情况下，，，， ，，，能够进行Java反序列化远程号令执杏祝。。。。。。。这里使用的gadget是CommonsBeanutils1，，，， ，，，如图所示：
在Horizon基站上的shell显示了JDK版本，，，， ，，，并通过MQ通路发送序列化payload之后，，，， ，，，成功创建了RCE的文件蹊径，，，， ，，，如图所示：
0x02 措置建议
目前厂商已颁布新版本建复缝隙（Horizon 26.0.1、Meridian 2019.1.6、Meridian 2018.1.18），，，， ，，，请受影响用户尽快下载更新，，，， ，，，下载链接：
https://issues.opennms.org/browse/NMS-12673
0x03 参考链接
https://issues.opennms.org/browse/NMS-12673
0x04 功夫线
2020-05-10 VSRC颁布缝隙公告
京公网安备11010802024551号