Sonatype Nexus Repository 3<3.68.1 任意文件下载漏洞 (CVE-2024-4956)

漏洞类型 路径遍历 发现时间 2024-05-17 漏洞等级 高危
MPS编号 MPS-acvt-3krg CVE编号 CVE-2024-4956 漏洞影响广度

漏洞危害

OSCS 描述
Sonatype Nexus Repository 3 是开源的制品库,用于存储和管理软件构建制品。
受影响版本中存在路径遍历漏洞,未经身份验证的攻击者可通过构造恶意的 URL 下载目标系统上的任意文件。
参考链接:https://www.oscs1024.com/hd/MPS-acvt-3krg

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
nexus_repository_manager_3 (-∞, 3.68.1) 缓解措施 移除/etc/jetty/jetty.xml中/public路径访问配置
参考链接:https://www.oscs1024.com/hd/MPS-acvt-3krg

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-acvt-3krg

https://nvd.nist.gov/vuln/detail/CVE-2024-4956

https://support.sonatype.com/hc/en-us/articles/29416509323923-CVE-2024-4956-Nexus-Repository-3-Path-Traversal-2024-05-16

https://support.sonatype.com/hc/en-us/articles/29412417068819-Mitigations-for-CVE-2024-4956-Nexus-Repository-3-Vulnerability

(0)
上一篇 2024年5月18日
下一篇 2024年5月21日

相关推荐

  • MLflow < 2.10.0 任意文件读取漏洞(is_local_uri绕过) (CVE-2024-3573)

    漏洞类型 路径遍历 发现时间 2024-04-16 漏洞等级 严重 MPS编号 MPS-18es-qbvo CVE编号 CVE-2024-3573 漏洞影响广度 小 漏洞危害 OSCS 描述 MLflow 是用于机器学习全生命周期管理的开源工具。 在MLflow < 2.10.0 中,is_local_uri 方法在验证输入的文件路径时缺少对URI的检查,错...

    漏洞 2024年4月22日
    0
  • Spring AMQP 反序列化漏洞 (CVE-2023-34050)

    漏洞类型 反序列化 发现时间 2023-10-18 漏洞等级 中危 MPS编号 MPS-1mr6-9hnw CVE编号 CVE-2023-34050 漏洞影响广度 广 漏洞危害 OSCS 描述 Spring AMQP是将核心 Spring 概念应用于基于 AMQP 的消息传递解决方案的开发。 Spring AMQP中支持添加反序列化类名白名单,用于防止恶意类…

    2023年10月19日
    0
  • runc 容器逃逸漏洞 (CVE-2024-21626)

    漏洞类型 将资源暴露给错误范围 发现时间 2024-02-01 漏洞等级 高危 MPS编号 MPS-ngf4-bql2 CVE编号 CVE-2024-21626 漏洞影响广度 广 漏洞危害 OSCS 描述 runc是根据OCI规范在Linux上生成和运行容器的命令行工具。 在 runc 受影响版本中,由于在初始化过程中泄露了部分内部文件描述符,包括对宿主的 …

    2024年2月1日
    0
  • OpenSSL POLY1305 MAC算法 矢量寄存器损坏漏洞 (CVE-2023-6129)

    漏洞类型 对数组索引的验证不恰当 发现时间 2024-01-10 漏洞等级 低危 MPS编号 MPS-95ig-2os6 CVE编号 CVE-2023-6129 漏洞影响广度 广 漏洞危害 OSCS 描述 OpenSSL是广泛使用的开源加密库。 在 OpenSSL 中,用于 PowerPC CPU 的 POLY1305 MAC 实现在恢复矢量寄存器的内容时,…

    2024年1月10日
    0
  • Node.js HTTP/2 CONTINUATION 拒绝服务漏洞 (CVE-2024-27983)

    漏洞类型 可达断言 发现时间 2024-04-04 漏洞等级 高危 MPS编号 MPS-i9bf-a843 CVE编号 CVE-2024-27983 漏洞影响广度 一般 漏洞危害 OSCS 描述 Node.js 是开源、跨平台的 JavaScript 运行时环境。CONTINUATION泛洪攻击被发现存在于多个HTTP/2协议实现中。 在受影响版本中,由于N…

    2024年4月6日
    0