- 您的需求已经提交，我们将在48小时内联系您
- 全国服务热线：400-1000-221
确定
- 免费享受企业级云安全服务
获取手机验证码
{{message}}
免费试用
Shiro & Nexus Repository Manger 2/3 权限验证绕过漏洞通告
作者：
发布时间：2020-10-16
0x01 漏洞简述
2020年10月16日，sonatype官方 发布了 Nexus Repository Manger 2 & 3 验证绕过漏洞 的风险通告，漏洞等级： 高危 ，漏洞评分： 8.1 。
未经身份验证的用户可以提交特制的 HTTP 请求，这可能会导致身份验证绕过。
对此，建议广大用户及时将 Nexus Repository Manger 2 & 3 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 360CERT评分 | 8.1 |
0x03 漏洞详情
Nexus Repository Manger 2 & 3 验证绕过漏洞
Nexus Repository 是一个开源的仓库管理系统，在安装、配置、使用简单的基础上提供了更加丰富的功能。
sonatype 官方发现 apache-shiro 的权限绕过漏洞 CVE-2020-13933 ，影响了 Nexus Repository Manager 2 & 3 。
未经身份验证的用户可以提交特制的 HTTP 请求，这可能会导致身份验证绕过。
0x04 影响版本
-
sonatype:Nexus Repository Manger 2: < 2.14.19 -
sonatype:Nexus Repository Manger 3: < 3.27.0
0x05 修复建议
通用修补建议
将 Nexus Repository Manager 3 升级到 3.27.0 或更高版本，并将 Nexus Repository Manager 2 升级到 2.14.19 或更高版本。
-
Nexus Repository Manager 2下载 ：https://help.sonatype.com/repomanager2/download
-
Nexus Repository Manager 3下载 ：https://help.sonatype.com/repomanager3/download