CVE-2024-4956 – Nexus Repository Manager 3 中的未授权路径遍历漏洞

Nexus Repository Manager 作为管理、存储和分发开发构件的中心枢纽，在版本3.68.1之前的版本中发现了一个关键的安全漏洞，被识别为路径遍历漏洞。此漏洞使未经授权的个人能够构建一个URL，从而能够下载超出Nexus Repository应用程序预期边界之外的文件，且所有这些操作都不需要身份验证。

此漏洞的影响极为严重，因为它会导致机密系统文件的泄露，并可能危及托管Nexus Repository的系统的完整性。为解决此问题，强烈建议尽早升级到Nexus Repository Manager版本3.68.1或更高版本，以缓解此安全威胁。

漏洞的重要性

此漏洞的影响不仅限于Nexus Repository的直接用户；此漏洞可能是供应链攻击的起点。因为它还可能影响您组织中使用的第三方产品。

利用此漏洞可以检索关键数据，如内存内容、应用程序数据库密码，以及系统上几乎任何存在的文件。这已在我们实验室中得到验证。

我们主要关注的是构建系统可能包含敏感的API密钥，这可能为威胁行为者提供渗透其他基础设施组件并长期访问敏感软件构建系统的机会。

建议措施

更新您的系统：

及时为基础设施应用补丁。

审计认证日志：

检查受影响机器的入站和出站认证日志，至少追溯过去30天。

优先审查与Nexus Repository Manager和SSH相关的认证。

检查SSH密钥：

检查最近添加的SSH受信任密钥。

分析Web服务器日志：

在Web服务器日志中查找模式，如%2f或..。

重点关注以下文件：log/request.log（对于Docker，完整路径为/nexus-data/log/request.log）。

识别访问的文件：

如果检测到模式，确定哪些文件被访问。

特别注意包含以下内容的查询：

• id_{rsa|dsa}（表示访问SSH密钥）
• bash_history（可能包含凭据或密码）
• /db/（其中包含数据库文件，如api_key_domain_api_key_idx.sbt和user.pcl，分别包含API密钥和带有哈希密码的用户账户）
• /proc/（包括可能揭示密码或内存段的内存和环境变量）

应对疑似攻击：

如果怀疑遭受攻击，请立即采取以下步骤：

审查任何恶意活动并重置所有敏感信息，包括：

• 用户账户密码
• SSH账户详细信息
• 与SSH密钥相关的信任关系