Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-522

CVE-2026-113372

Nexus Repository 3'te YUM depo imzalama anahtarının yetkisiz kullanıcılara açılması

Sonatype Nexus Repository 3

Yüksek 7,1 CVSS 4.0
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
1 gün
Kaydı açan
Sonatype

Yönetici özeti

Bu açık, depo paketlerinin güvenilirliğini doğrudan etkileyebilecek bir kimlik bilgisi sızıntısıdır. Düşük yetkili bir hesabın bile gizli anahtara erişebilmesi, yazılım tedarik zincirinde güveni zedeler. Sürüm yükseltmesi öncelikli olarak planlanmalıdır.

ÖzetTürkçe

Sonatype Nexus Repository 3, YUM proxy veya grup depolarının özel imzalama anahtarını, yalnızca o depoyu yönetmek için okuma yetkisine sahip hesaplara göstermektedir. Bu hesapların depoyu düzenleme yetkisine sahip olması gerekmez. Etkilenen sürümler 3.93.0 ile 3.98.0 öncesi arasındadır.

Saldırgan ne yapabilir?

Anahtarı ele geçiren bir saldırgan, depo meta verilerini bu depo adına imzalayabilir. Bu da kurumsal sistemlerin sahte veya değiştirilmiş paketlerle güncellenmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Sonatype Nexus Repository 3 returns the private signing key of a YUM proxy or group repository to an account that holds only the read privilege for administering that repository. The account does not need the privilege to edit the repository. A party that holds the key can sign repository metadata as that repository.

Ne yapmalı?

  1. Nexus Repository 3 sürümünü 3.98.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltmeden önce, YUM proxy veya grup depolarında imzalama anahtarının etkilenmiş olabileceğini varsayarak anahtarın yenilenmesini değerlendirin. Genel öneri
  3. Okuma yetkisine sahip hesapların listesini gözden geçirin ve gereksiz erişimleri kaldırın. Genel öneri

Ek önlemler

  • Depo yönetimi için verilen yetkileri en az ayrıcalık ilkesine göre düzenleyin. Genel öneri
  • YUM depo meta verilerindeki beklenmedik değişiklikleri ve imza uyuşmazlıklarını izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Sonatype Nexus Repository 3 ≥ 3.93.0, < 3.98.0 3.98.0

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.