CVE-2020-15012 | Nexus Repository Manager 2目录遍历缝隙公告

颁布功夫 2020-10-09

0x00 缝隙概述

CVE  ID

CVE-2020-15012

时   间

2020-10-09

类   型

目录遍历

等   级

高危

远程利用


影响领域

Nexus Repository Manager 2 <=2.14.18

 

Nexus Repository是一个开源的仓库治理系统，在装置、配置、使用单一的基础上提供了越发丰硕的职能。它是搭建maven的镜像的工具之一，在全球领域内使用宽泛。

0x01 缝隙详情

image.png

 

2020年10月08日，Sonatype颁布安全布告，Nexus Repository Manager 2中存在一个目录遍历缝隙，缝隙跟踪为CVE-2020-15012。成功利用此缝隙的攻击者可能执行目录遍历以读取敏感数据文件，并对用户公开肆意文件。但要利用此缝隙，攻击者必须拥有对Nexus Repository Manager instance的网络接见权限，能力查看配置文件或受�；さ哪谌�。

0x02 措置建议

目前官方已颁布安全更新，建议将Nexus Repository Manager 2升级到2.14.19最新版本：

下载链接：

https://help.sonatype.com/repomanager2/download

0x03 参考链接

https://support.sonatype.com/hc/en-us/articles/360051068253-CVE-2020-15012-Nexus-Repository-Manager-2-Directory-Traversal-2020-10-08

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-15012

0x04 功夫线

2020-10-08  Sonatype颁布安全布告

2020-10-09  VSRC颁布安全公告

 

 

 

 

image.png