Sonatype Nexus Repository のリモートコード実行の脆弱性（CVE-2020-10199）

何が起きた

ソフト開発で使う部品（ライブラリなど）を保管する Sonatype Nexus Repository に、JavaEL インジェクションという弱点が見つかりました。Sonatype によると、Nexus Repository のアカウントを持つ攻撃者なら、どの種類のアカウントでも、細工した要求を送って任意のコード（攻撃者が好きに選べるプログラム）を実行できます。NVD の評価でも、ネットワーク経由で、ログイン済みの攻撃者が悪用できます。CISA によると、この弱点は遠隔からのコード実行（離れた場所からプログラムを動かすこと）につながり、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Sonatype Nexus Repository 3 を自分のサーバーで動かしている組織が対象です。Sonatype によると、OSS 版と Pro 版の 3.21.1 までのすべての 3.x が影響を受け、3.21.2 で修正されました。

何をすればいい

Sonatype は、影響を受けるすべての Nexus Repository を 3.21.2 以降に更新するよう強くすすめています。使っているバージョンを確かめ、3.21.1 以前なら更新してください。

やることチェックリスト

• Nexus Repository 3 のバージョンを確かめる
• 3.21.1 以前なら 3.21.2 以降に更新する
• 更新後のバージョンが 3.21.2 以降か確かめる

用語メモ

JavaEL インジェクション

Java のプログラムが式として読み取る部分に、攻撃者が命令を紛れ込ませる弱点です。

遠隔からのコード実行

攻撃者が離れた場所から、相手のコンピューターでプログラムを動かすことです。

ログイン済み

IDとパスワードでサービスに入った状態のことです。