CVEノート

最近の脆弱性 › CVE-2019-7238

Sonatype Nexus Repository Manager の脆弱性（CVE-2019-7238）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2019-7238
製品Sonatype Nexus Repository Manager
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-12-10
米国政府機関の対応期限2022-06-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

Sonatype Nexus Repository Manager に、アクセスの制限（だれが何をしてよいかの確認）が正しくない弱点が見つかりました。CISA によると、この弱点を悪用するとサーバー上で命令を実行でき、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログインせずにサーバーへ接続する → 2. アクセスの制限の不備を突く → 3. サーバー上で命令が実行される1攻撃者がログインせずにサーバーへ接続する2アクセスの制限の不備を突く3サーバー上で命令が実行される攻撃の流れ: 1. 攻撃者がログインせずにサーバーへ接続する → 2. アクセスの制限の不備を突く → 3. サーバー上で命令が実行される1攻撃者がログインせずにサーバーへ接続する2アクセスの制限の不備を突く3サーバー上で命令が実行される

誰が影響を受ける

NVD の説明によると、3.15.0 より前の Sonatype Nexus Repository Manager を使っている人・組織が影響を受けます。

何をすればいい

NVD の説明にもとづき、Nexus Repository Manager を 3.15.0 以降に更新されているか確認してください。Sonatype の公式の案内を確認し、古いバージョンが使われていないか確かめてください。

やることチェックリスト

用語メモ

Nexus Repository Manager
ソフトの部品（ライブラリなど）を保管し、開発チームで共有するためのサーバーソフトです。
アクセスの制限
だれがどの機能やデータを使ってよいかを確かめて、許されない操作を止める仕組みです。

元データ（英語・CISA KEV より）

Sonatype Nexus Repository Manager Incorrect Access Control Vulnerability

概要

Sonatype Nexus Repository Manager before 3.15.0 has an incorrect access control vulnerability. Exploitation allows for remote code execution.

推奨対応

Apply updates per vendor instructions.

公式情報