【已复现】Sonatype Nexus Repository 3 路径遍历漏洞(CVE-2024-4956)安全风险通告

● 点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Sonatype Nexus Repository 3 路径遍历漏洞
漏洞编号	QVD-2024-18749,CVE-2024-4956
公开时间	2024-05-16	影响量级	十万级
奇安信评级	高危	CVSS 3.1分数	7.5
威胁类型	信息泄露	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：未经身份认证的远程攻击者通过构造特殊的请求可以下载读取远程目标系统上的任意文件。

01

漏洞详情

>>>>

影响组件

Sonatype Nexus Repository 是美国Sonatype公司的一款存储库管理器，用于存储和分发软件组件、构建工件和 Docker 容器。它支持多种包格式，与 CI/CD 工具集成，并提供安全性和合规性功能。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复Sonatype Nexus Repository 3 路径遍历漏洞(CVE-2024-4956)，未经身份认证的远程攻击者通过构造特殊的请求可以下载读取远程目标系统上的任意文件，对机密性造成很高的影响。目前该漏洞技术细节与EXP已在互联网上公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02

影响范围

>>>>

影响版本

Sonatype Nexus Repository 3 < 3.68.1

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Sonatype Nexus Repository 3 路径遍历漏洞(CVE-2024-4956)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，Sonatype Nexus Repository 3 路径遍历漏洞(CVE-2024-4956)关联的国内风险资产总数为201540个，关联IP总数为35301个。国内风险资产分布情况如下：

Sonatype Nexus Repository 3 路径遍历漏洞(CVE-2024-4956)关联的全球风险资产总数为281099个，关联IP总数为57099个。全球风险资产分布情况如下：

05

处置建议

>>>>

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Sonatype Nexus Repository 3 < 3.68.1

官方下载地址：

https://help.sonatype.com/repomanager3/download

缓解方案：

1.对于 Sonatype Nexus Repository 的每个实例，编辑

(basedir)/etc/jetty/jetty.xml 并从文件中删除这一行：

<Set name="resourceBase"><Property name="karaf.base"/>/public</Set>

重新启动 Nexus 存储库以使更改生效。

注意：此更改可防止利用该漏洞，但也会防止应用程序从 （installdir）/public 目录加载文件，可能会导致轻微的UI渲染问题，而不会影响核心产品功能。

2.如果对 Nexus Repository 的访问受 AWS WAF 规则保护，则 GenericLFI_URIPATH 规则可以防范此漏洞。

https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-baseline.html

>>>>

产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Sonatype Nexus Repository 3 路径遍历漏洞(CVE-2024-4956)的防护。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：8064，建议用户尽快升级检测规则库至2405231600以上；

奇安信开源卫士已支持

奇安信开源卫士20240523. 633 版本已支持对Sonatype Nexus Repository 3 路径遍历漏洞(CVE-2024-4956)的检测。

(开源卫士试用地址：https://oss.qianxin.com）

奇安信自动化渗透测试系统检测方案

奇安信自动化渗透测试系统已经能够有效检测针对该漏洞的攻击，请将插件版本和指纹版本升级到202405312600以上版本。规则名称：Sonatype Nexus Repository 3 CVE-2024-4956 路径遍历漏洞。奇安信自动化渗透测试系统规则升级方法：系统管理->升级管理->插件升级（指纹升级），选择“网络升级”或“本地升级”。

06

参考资料

[1]https://support.sonatype.com/hc/en-us/articles/29416509323923-CVE-2024-4956-Nexus-Repository-3-Path-Traversal-2024-05-16

[2]https://support.sonatype.com/hc/en-us/articles/29412417068819-Mitigations-for-CVE-2024-4956-Nexus-Repository-3-Vulnerability

07

时间线

2024年5月23日，奇安信 CERT发布安全风险通告。

08

漏洞情报服务

奇安信ALPHA威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。

推荐阅读

思科修复NSA报告的Nexus 交换机DoS漏洞及其它

思科警告：Nexus 交换机受严重缺陷影响

史上最强大的僵尸网络 Dark_nexus 横空出世

思科修复 Nexus交换机中的20多个高危漏洞

谷歌修复Nexus 6安全启动绕过漏洞

转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~