Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-522

CVE-2026-113371

Sonatype Nexus Repository 3'te depo imzalama parolasının yetkisiz kullanıcıya açılması

Sonatype Nexus Repository 3

Yüksek 7,1 CVSS 4.0
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Sonatype

Yönetici özeti

Bu açık, şirketinizin yazılım paketi deposunun güvenilirliğini etkileyebilir. Sınırlı yetkiye sahip bir hesap, depo imzalama anahtarını koruyan parolaya erişebilir. Sürümün güncellenmesi, bu riskin hızla kapatılması açısından önemlidir.

ÖzetTürkçe

Sonatype Nexus Repository 3, APT veya YUM depolarının imzalama parolasını dahili bir REST uç noktası üzerinden döndürmektedir. Bu parola, depoyu yönetmek için yalnızca okuma yetkisine sahip bir kullanıcı hesabına da gösterilmektedir. Hesabın depoyu düzenleme yetkisine sahip olması gerekmemektedir. Etkilenen sürümler 3.93.0 ile 3.98.0 öncesi sürümlerdir.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapılmış, yalnızca okuma yetkisine sahip bir saldırgan depo imzalama parolasını ele geçirebilir. Ele geçirilen parola ile depo imzalama işlemleri taklit edilebilir.

Kaynaktaki açıklama (İngilizce)

Sonatype Nexus Repository 3 returns the signing passphrase of an APT or YUM repository, through an internal REST endpoint, to a user account that holds only the read privilege for administering that repository. The account does not need the privilege to edit the repository.

Ne yapmalı?

  1. Nexus Repository 3'ü 3.98.0 veya sonrası bir sürüme yükseltin. Üretici
  2. Yükseltme sonrasında, depo imzalama parolasının değiştirilmesi ve mevcut yetkili hesapların gözden geçirilmesi önerilir. Parolanın bu açık nedeniyle erişilmiş olabileceği varsayılarak hareket edin. Genel öneri

Ek önlemler

  • Depoyu yönetme yetkisini yalnızca gerçekten ihtiyaç duyan kullanıcılara verin ve kullanılmayan hesapları kaldırın. Genel öneri
  • Depo yönetim hesaplarında olağandışı okuma veya yapılandırma erişimlerini izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Sonatype Nexus Repository 3 ≥ 3.93.0, < 3.98.0 3.98.0

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.