CVE-2019-7238とは？Sonatype Nexus Repository Managerの脆弱性をわかりやすく解説

ひとことでNexus Repository Manager で、ログインなしに命令を実行される弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることNexus Repository Manager の今のバージョンを確かめる

基本情報（データから表示）

CVE番号	CVE-2019-7238
製品	Sonatype Nexus Repository Manager
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-12-10
米国政府機関の対応期限	2022-06-10
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	不明

何が起きた

Sonatype Nexus Repository Manager に、アクセスの制限（だれが何をしてよいかの確認）が正しくない弱点が見つかりました。CISA によると、この弱点を悪用するとサーバー上で命令を実行でき、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Nexus Repository Manager 3 を使っている人や組織が対象です。NVD の説明では、3.15.0 より前のバージョンが影響を受けます。Sonatype によると、2019年2月5日に公開した 3.15 でこの弱点を直しました。

何をすればいい

Nexus Repository Manager を 3.15.0 以降に更新してください。今のバージョンを確かめ、3.15.0 より前のままになっていないか確認してください。

やることチェックリスト

Nexus Repository Manager の今のバージョンを確かめる
Nexus Repository Manager を 3.15.0 以降に更新する
3.15.0 より前のものが残っていないか調べる

用語メモ

Nexus Repository Manager: ソフトの部品（ライブラリなど）を保管し、開発チームで共有するためのサーバーソフトです。
アクセスの制限: だれがどの機能やデータを使ってよいかを確かめて、許されない操作を止める仕組みです。

次に読む

同じ製品・メーカーの脆弱性Sonatype Nexus Repository（CVE-2020-10199）8.8 重要CVSS v3.1部品置き場の Sonatype Nexus Repository で、外からプログラムを動かされる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Sonatype Nexus Repository Manager Incorrect Access Control Vulnerability

概要

Sonatype Nexus Repository Manager before 3.15.0 has an incorrect access control vulnerability. Exploitation allows for remote code execution.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Sonatype Nexus Repository Manager の脆弱性（CVE-2019-7238）