Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar

CVE-2019-7238

Sonatype Nexus Repository Manager'da hatalı erişim denetimi açığı

Sonatype Nexus Repository Manager

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2777 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 10 Ara 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 10 Haz 2022.

Yönetici özeti

Yazılım paketlerini yönettiğimiz Nexus Repository Manager'ın eski sürümlerinde, saldırganların şifre olmadan sisteme erişmesine izin veren kritik bir açık var. Açığın gerçek saldırılarda kullanıldığı biliniyor, bu nedenle güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

Sonatype Nexus Repository Manager'ın 3.15.0 öncesi sürümlerinde hatalı erişim denetimi (Incorrect Access Control) zafiyeti bulunuyor. Ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden istismar edilebiliyor. Bu sürümleri çalıştıran tüm Nexus Repository Manager kurulumları etkileniyor. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) kataloğunda yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini ciddi biçimde etkileyebilir. Depodaki yapıtlara ve sistem işlevlerine yetkisiz erişim sağlanabilir.

Kaynaktaki açıklama (İngilizce)

Sonatype Nexus Repository Manager before 3.15.0 has Incorrect Access Control.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Sonatype Nexus Repository Manager'ı 3.15.0 veya daha yeni bir sürüme yükseltin. Genel öneri
  2. Güncellemeyi satıcının talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa Nexus arayüzüne erişimi güvenlik duvarı veya ters vekil sunucu ile yalnızca güvenilir ağlara ve kullanıcılara kısıtlayın. Genel öneri

Ek önlemler

  • Nexus Repository Manager'ı doğrudan internete açmayın; erişimi VPN veya IP kısıtlamasıyla sınırlandırın. Genel öneri
  • Erişim ve denetim günlüklerini inceleyerek beklenmedik yönetim işlemlerini, yeni kullanıcıları ve yapıt değişikliklerini kontrol edin. Genel öneri
  • Açık eski sürümde internete açık kaldıysa sistemin ele geçirilmiş olabileceğini varsayın; yönetici parolalarını ve depolardaki erişim anahtarlarını yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Sonatype Nexus Repository Manager Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.