CVE-2020-10199| Nexus Repository Manager远程代码执行缝隙公告

颁布功夫 2020-04-02

0x00 缝隙概述


CVE   ID

CVE-2020-10199

时    间

2020-04-02

类    型

远程代码执行

等    级

高危

远程利用

是

影响领域

Nexus Repository Manager OSS/Pro 3.x <= 3.21.1



0x01 缝隙详情




Sonatype Nexus 是一个 Maven 的仓库治理系统，它提供了壮大的仓库治理、构件搜索等职能，并且能够用来搭建 Maven 仓库私服，在代理远程仓库的同时守护本地仓库，以节俭带宽和功夫 。


在 Nexus Repository Manager OSS/Pro 3.21.1 及之前的版本中，经过授权认证的攻击者，能够通过 JavaEL 表白式注入造成远程代码执行，获取系统权限 。


0x02 措置建议


更新 Nexus Repository Manager 到3.21.2或更高版本：

https://help.sonatype.com/repomanager3/download/


0x03 有关新闻


https://support.sonatype.com/hc/en-us/articles/360044882533


0x04 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2020-10199


0x05 功夫线


2020-03-31 Sonatype官方颁布缝隙公告

2020-04-01 CVE 颁布该缝隙