【CVE-2019-5475】Sonatype Nexus Repository Manager操作系统命令注入漏洞复现

0x00 漏洞概述

Sonatype Nexus Repository Manager（NXRM）是美国Sonatype公司的一款Maven仓库管理器。

Sonatype NXRM中存在操作系统命令注入漏洞。攻击者可利用该漏洞执行代码。

0x01 影响版本

Nexus Repository Manager OSS <= 2.14.13
Nexus Repository Manager Pro <= 2.14.13

限制：admin权限才可触发漏洞

0x02 漏洞评级

严重

0x03 漏洞环境搭建

PS：该漏洞环境再windows下搭建。

Nexus-2.14.13下载地址：
https://download.sonatype.com/nexus/oss/nexus-2.14.13-01-bundle.zip

下载完成后解压，使用管理员权限分别运行 install-nexus.bat 、start-nexus.bat这两个文件。

执行完毕后查看8081端口是否开启，如果开启则说明服务启动成功。如果服务无法启动请参考此篇文章：https://blog.csdn.net/nthack5730/article/details/51082270