专栏首页云鼎实验室的专栏预警 | Nexus Repository Manager 3 访问控制缺失及远程代码执行漏洞安全预警

预警 | Nexus Repository Manager 3 访问控制缺失及远程代码执行漏洞安全预警

近日,腾讯安全云鼎实验室发现了通用软件包仓库管理服务 Nexus Repository Manager 3 存在访问控制缺失及远程代码执行漏洞(漏洞编号:CVE-2019-7238),并第一时间向 Sonatype 公司汇报,协助其修复漏洞。

2019年2月5日,Sonatype 官方发布安全公告,公开致谢腾讯安全云鼎实验室安全研究员 Rico 和长亭科技安全研究员 voidfyoo。

公告链接:https://support.sonatype.com/hc/en-us/articles/360017310793-CVE-2019-7238-Nexus-Repository-Manager-3-Missing-Access-Controls-and-Remote-Code-Execution-February-5th-2019

此漏洞发现后,腾讯云已第一时间自检并确认不受该漏洞影响,同时为客户提供了防御和检测能力。

为避免您的业务受影响,腾讯云安全团队建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

漏洞概述

由于 Nexus Repository Manager 3 访问控制措施缺失,未授权的用户可利用该问题构造特定请求在服务器上执行 Java 代码,从而达到远程代码执行的目的,影响系统安全。

目前官方已经通过添加访问控制措施和禁用服务器上特定路径的 Java 代码执行能力来缓解该漏洞。

【风险等级】高风险

【漏洞危害】远程代码执行

影响版本

Nexus Repository Manager  OSS/Pro 3.6.2 版本到 3.14.0 版本

安全版本

Nexus Repository Manager OSS/Pro 3.15.0 版本

修复建议

目前官方已经发布新版本修改了该漏洞,建议您参照上述【安全版本】升级到对应的最新版本。

最新版本下载链接:

https://help.sonatype.com/repomanager3/download

腾讯安全云鼎实验室 关注云主机与云内流量的安全研究和安全运营。利用机器学习与大数据技术实时监控并分析各类风险信息,帮助客户抵御高级可持续攻击;联合腾讯所有安全实验室进行安全漏洞的研究,确保云计算平台整体的安全性。相关能力通过腾讯云开放出来,为用户提供黑客入侵检测和漏洞风险预警等服务,帮助企业解决服务器安全问题。

本文分享自微信公众号 - 云鼎实验室(YunDingLab)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2019-02-13

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • CVE-2019-7238 Nexus Repository Manager 3 RCE漏洞复现

    Nexus Repository Manager是Sonatype公司的一个产品,简称NXRM,它是一款通用的软件包仓库管理服务,可以简单的理解为Maven的私...

    用户1631416
  • 安全运营中心还可以这么用,送给云上处理漏洞应急的筒子们

    随着云计算技术迅猛发展,云平台的稳定性和可扩展性得到越来越多的企业认可,很多企业开始愿意把自身业务放在云上,节约成本的同时,还方便弹性扩展。然而云上的安全管理...

    腾讯云安全
  • 木马围城:比特币爆涨刺激挖矿木马一拥而上围猎肉鸡资源

    云主机是企业数字化转型的重要基础设施,承载着重要的数据和服务价值,也逐渐成为了黑客的重点攻击对象。随着虚拟机、云主机、容器等技术的普遍应用,传统安全边界逐渐模糊...

    Kendiv
  • 安全运营中心还可以这么用,送给云上处理漏洞应急的筒子们

    随着云计算技术迅猛发展,云平台的稳定性和可扩展性得到越来越多的企业认可,很多企业开始愿意把自身业务放在云上,节约成本的同时,还方便弹性扩展。然而云上的安全管理...

    云鼎实验室
  • 解读OWASP TOP 10

    **原理:**将不受信任的数据作为命令或查询的一部分发送到解析器,会产生诸如sql注入、nosql注入、os注入和LADP注入的注入缺陷。攻击者的恶意数据可以诱...

    用户2202688
  • 专属| GitHub发布Python安全警告

    近日,GitHub宣布了Python安全警告,使Python用户可以访问依赖图,并在他们的库所依赖的包存在安全漏洞时收到警告。GitHub会根据MITRE的公共...

    漏斗社区
  • WatchBog新型变种分析

    近日发现新版本的WatchBog:自2018年底开始运行的加密货币挖掘僵尸网络。自6月初开始已有超过4,500台Linux机器遭到破坏。在新的Linux漏洞利用...

    FB客服
  • Java Maven项目之Nexus私服搭建和版本管理应用

    目录: Nexus介绍 环境、软件准备 Nexus服务搭建 Java Maven项目版本管理应用 FAQ 1、Nexus介绍 Nexus是一个强大的Mave...

    哎_小羊
  • 【漏洞预警】Weblogic反序列化远程代码执行漏洞预警通告

    4月17日,国家信息安全漏洞共享平台(CNVD)公开了Weblogic反序列化远程代码执行漏洞,此漏洞存在于weblogic自带的wls9_async_resp...

    绿盟科技安全情报
  • 安恒信息APT攻击(网络战)预警平台2018年勒索病毒检测分布

    2017年,勒索病毒扩散事件让大家人心惶惶,对WannaCry勒索病毒、Petya勒索病毒、Locky勒索病毒、BadRabbit勒索病毒的传播记忆犹新,而20...

    安恒信息
  • 一场屠戮MongoDB的盛宴反思 | 超33000个数据库遭遇入侵勒索

    许多人没有想到,去年12月一件不起眼的小事,在新年伊始却演变成了一场屠杀。如今,受害的一方似乎正由于自身的疏忽和迟钝而显得愈发无力反抗,一个接一个倒下。 截止本...

    FB客服
  • 紧急预警丨威胁堪比永恒之蓝,微软高危RDP漏洞利用代码已被公布,请尽快修补!

    微软于5月15日发布的远程桌面服务代码执行漏洞(CVE-2019-0708)可导致远程控制的利用代码已被Metasploit公开发布,经测试真实可用,该漏洞危...

    云鼎实验室
  • Oracle全系产品2018年10月关键补丁更新(CPU)

    2018年10月16日,Oracle官方发布了2018年10月(第三季度)关键补丁更新公告CPU(Critical Patch Update),安全通告以及第三...

    绿盟科技安全情报
  • 【安全预警】泛微e-cology OA数据库配置信息泄露漏洞预警

    近日,腾讯云安全中心监测发现办公协作系统泛微e-cology OA被曝存在数据库配置信息泄露漏洞,如攻击者可直接访问数据库,则可直接获取用户数据,甚至可以直接...

    云鼎实验室
  • WebLogic反序列化漏洞(CVE-2018-2893)处置建议

    北京时间7月18日,Oracle官方发布了7月份(第二季度)的关键补丁更新CPU(Critical Patch Update),其中修复了一个4月份(第一季度)...

    绿盟科技安全情报
  • 新漏洞“PwnedPiper”席卷医疗行业,超80%医院中招

    网络安全公司Armis研究人员一组九个漏洞,这些漏洞统称为PwnedPiper,可被利用来对广泛使用的气动管系统 (PTS) 进行多次攻击。

    FB客服
  • 紧急预警 | Windows 新“蠕虫级”远程桌面服务漏洞风险预警(CVE-2019-1181/1182)

    近日,腾讯云安全中心监测到微软于周二补丁日发布了新的“蠕虫级”远程桌面服务高危漏洞预警及8月安全补丁更新公告,一共披露了97 个漏洞,攻击者可利用漏洞进行本地...

    云鼎实验室
  • 腾讯云上攻防战事 | 云上听风,不战而屈人之兵

    对于一场战争而言,情报战早在双方短兵相接之前就已经打响,谁能掌握更多、更精准的情报,往往就掌控了战场的主动权,有更大的把握赢得胜利,甚至能取得以弱胜强、以少胜多...

    腾讯安全
  • 在Ubuntu 16.04上安装OpenVAS 8

    OpenVAS(开放式漏洞评估系统)是一个客户端/服务器架构,它常用来评估目标主机上的漏洞。OpenVAS是Nessus项目的一个分支,它提供的产品是完全地免费...

    谢鸢

扫码关注云+社区

领取腾讯云代金券