セキュリティ研究者のクリスチャン・8月・ホルム・ハンセンはネクサスリポジトリマネージャ2.Xが実行される脆弱性で、リモートコマンドを開示しました。アカウントは、脆弱性のデフォルトを展開する権限を持っています。ログインに成功したら、設定をカスタマイズする「createrepo」または「mergerepo」を使用することができ、およびリモートコマンド実行の脆弱性をトリガすることができます。CVE ID CVE-2019-5475として。
画像：sonatype
「ネクサスリポジトリマネージャです。あなたは、多くの場合、JARコレクションに対処していないので、それは、あなたのエージェントは、あなたの依存関係を収集し、管理することができます。それはあなたが簡単にソフトウェアを配布することができます。インサイド、あなたは仕事に構成されたビルドしますネクサスに公開し、彼らはあなたが自分の「コア」の利点を持って取得することができます。他の開発者が利用できる、およびコラボレーションのための全く簡単な方法はありません。」
展開権は管理者/ admin123アカウントのデフォルトのネクサスリポジトリマネージャ2.xのバージョンでは、攻撃者が直接、リモートコマンドの実行にログオンする「createrepo」または「mergerepo」の設定を使用することができます。
影響を受けるバージョン
- ネクサスリポジトリマネージャOSS <= 2.14.13
- ネクサスリポジトリマネージャのプロ<= 2.14.13
影響を受けないバージョン
- ネクサスリポジトリマネージャのOSS / Proのバージョン2.14.14
ソリューション
影響を受けるユーザーは影響を受けませんバージョンとすぐに更新されます。