Sonatype, 13 Kasım 2024’te yayınlanan ve Nexus Repository Manager 2.x sürümlerini etkileyen kritik bir güvenlik güncellemesinde iki önemli güvenlik açığını açıkladı.
Bu iki güvenlik açığı, etkilenen yazılım sürümlerini kullanan kuruluşlar için ciddi riskler oluşturmaktadır.
Bu iki güvenlik açığı Michael Stepankin (artsploit) tarafından Sonatype’nin Bug Bounty Programı aracılığıyla keşfedilip rapor edildi.
Güvenlik açıkları “CVE-2024-5082” ve “CVE-2024-5083” olarak tanımlanıyor.
Sonatype, mevcut herhangi bir aktif istismardan haberdar olmadıklarını belirtti ancak güvenlik açıklarının ciddiyeti nedeniyle kullanıcıları derhal harekete geçmeye çağırıyor.
Free Ultimate Continuous Security Monitoring Guide - Download Here (PDF)
Kusur Profili
Uzaktan Kod Yürütme Güvenlik Açığı (CVE-2024-5082)
İlk güvenlik açığı olan CVE-2024-5082, 2.15.1’e kadar olan tüm Sonatype Nexus Repository Manager 2.x OSS/Pro sürümlerini etkileyen bir uzaktan kod yürütme (RCE) kusurudur. Bu kritik sorun, bir saldırganın özel hazırlanmış bir Maven yapıtı yayınlayarak rastgele kod yürütmesine olanak tanır.
Saldırı Vektörü: Ağ erişimine ve Maven yapıtını yayınlamak için minimum izinlere sahip bir saldırgan bu güvenlik açığından yararlanabilir.
Azaltma: Sonatype, güvenlik açığını gideren Nexus Repository 2.15.2 sürümüne yükseltme yapmanızı önemle önerir. Hemen yükseltme yapamayan kuruluşlar için, geçici bir etki azaltma önlemi olarak özel bir Web Uygulaması Güvenlik Duvarı (WAF) kuralı uygulanabilir.
Depolanan Siteler Arası Komut Dosyası Çalıştırma Güvenlik Açığı (CVE-2024-5083)
İkinci güvenlik açığı olan CVE-2024-5083, RCE güvenlik açığıyla aynı sürümleri etkileyen depolanmış bir siteler arası komut dosyası çalıştırma (XSS) hatasıdır. Bu sorun, bir saldırganın, bir yönetici yapının içeriğini görüntülediğinde yürütülebilecek olan Maven yapıtlarının içine kötü amaçlı komut dosyaları yerleştirmesine olanak tanır.
Darbe: Bu güvenlik açığından yararlanılması halinde, yönetici ayrıcalıklarıyla yetkisiz eylemler gerçekleştirilmesine yol açabilir.
Azaltma: RCE güvenlik açığına benzer şekilde, sürüm 2.15.2’ye yükseltme önerilen çözümdür. Alternatif olarak, ters proxy kullanan kuruluşlar, riski azaltmak için belirli Nginx yapılandırmalarını uygulayabilir.
Sonatype aşağıdaki tavsiyelerde bulundu: –
- Sürüm 2.x Genişletilmiş Bakım kapsamında olduğundan Nexus Repository Manager 3’e yükseltin.
- Geçiş mümkün değilse hemen sürüm 2.15.2’ye yükseltin.
- Yükseltmenin mümkün olmadığı durumlarda anında önlem almak için sağlanan WAF kurallarını veya Nginx yapılandırmalarını uygulayın.
- Kuruluşunuz üzerindeki potansiyel etkiyi değerlendirin ve uygun önlemleri alın.
Bu güvenlik açıklarının ifşa edilmesi, yazılımın güncel tutulmasının ve sağlam güvenlik önlemlerinin uygulanmasının önemini vurgulamaktadır. Sonatype Nexus Repository Manager 2.x kullanan kuruluşlar, sistemlerini olası saldırılardan korumak için bu sorunları çözmeye öncelik vermelidir.
Sonatype’ın azaltma stratejilerini açıklama ve sağlama konusundaki proaktif yaklaşımı, kullanıcı güvenliğine ve sorumlu güvenlik açığı yönetimine olan bağlılığını göstermektedir.
Analyze Unlimited Phishing & Malware with ANY.RUN For Free - 14 Days Free Trial.