- CNNVD編號(hào)：未知
- 危害等級(jí)： 高危
- CVE編號(hào)：CVE-2020-29436
- 漏洞類(lèi)型： XML外部實(shí)體注入
- 威脅類(lèi)型：遠(yuǎn)程
- 廠 商：未知
- 漏洞來(lái)源：深信服
- 發(fā)布時(shí)間：2020-12-17
- 更新時(shí)間：2021-01-14
漏洞簡(jiǎn)介
1、Nexus Repository Manger 組件介紹
Nexus 一個(gè)是Maven倉(cāng)庫(kù)管理器，通常使用Maven，是從Maven中央倉(cāng)庫(kù)下載所需要的構(gòu)件（artifact），但這不是一個(gè)好的做法，更好的做法是在本地架設(shè)一個(gè)Maven倉(cāng)庫(kù)服務(wù)器，在代理遠(yuǎn)程倉(cāng)庫(kù)的同時(shí)維護(hù)本地倉(cāng)庫(kù)，以節(jié)省帶寬和時(shí)間，Nexus就可以滿足這樣的需要。此外，他還提供了強(qiáng)大的倉(cāng)庫(kù)管理功能，構(gòu)件搜索功能，它基于REST，占用較少的內(nèi)存，基于簡(jiǎn)單文件系統(tǒng)而非數(shù)據(jù)庫(kù)。這些優(yōu)點(diǎn)使其日趨成為最流行的Maven倉(cāng)庫(kù)管理器。
2 、漏洞描述
2020年12月15日，Sonatype官方發(fā)布了Nexus Repository Manager中一個(gè)外部實(shí)體注入漏洞的風(fēng)險(xiǎn)通告，該漏洞使得具有Nexus Repository Manager管理員權(quán)限的攻擊者可以配置系統(tǒng)，訪問(wèn)系統(tǒng)文件，并與任何Nexus Repository Manager可以訪問(wèn)的后端或外部系統(tǒng)進(jìn)行交互。官方已禁止XML解析庫(kù)解析來(lái)自外部的實(shí)體，從而修復(fù)此問(wèn)題。
漏洞公示
受影響實(shí)體
目前受影響的Nexus版本：
Nexus Repository Manager 3 <= 3.28.1
補(bǔ)丁
目前廠商已發(fā)布升級(jí)補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
Nexus Repository Manager 3下載
