- Yama var
- Son 7 gün
- CWE-862
CVE-2026-113374
Nexus Repository 3'te yetki eskalasyonu: Rut Auth yeteneği oluşturma üzerinden kimlik doğrulamasız erişim
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Sonatype
Yönetici özeti
Bu açık, sisteme sınırlı yetkiyle giriş yapabilen birinin yönetici hesabını ele geçirmesine olanak tanıyabilir. Depo sistemleri genellikle yazılım üretim hattının merkezinde olduğundan iş riski yüksektir ve güncelleme öncelikli olarak yapılmalıdır.
ÖzetTürkçe
Sonatype Nexus Repository 3, bir kullanıcının Rut Auth yeteneğini oluştururken realm yönetim yetkisini aranmamaktadır. Yalnızca yetenek oluşturma izni (nexus:capabilities:create) olan bir kullanıcı bu yeteneği oluşturabilir ve bu da sunucuda başlık tabanlı kimlik doğrulamayı etkinleştirir. Etkilenen sürümler 3.0.0 ile 3.98.0 öncesidir.
Saldırgan ne yapabilir?
Uzaktan bir saldırgan, kimlik bilgisi olmadan mevcut kullanıcılar adına, yöneticiler dahil, kimlik doğrulaması yapabilir ve sistemde tam yetkiye ulaşabilir.
Kaynaktaki açıklama (İngilizce)
Sonatype Nexus Repository 3 does not require realm administration permission when a user creates a Rut Auth capability. A user who holds only the capability creation permission (nexus:capabilities:create) can create this capability, which turns on header-based authentication for the instance. A remote client can then authenticate as an existing user, including an administrator, without credentials.
Ne yapmalı?
- Nexus Repository 3'ü 3.98.0 veya sonraki bir sürüme yükseltin. Üretici
- Yükseltme yapılana kadar, yetenek oluşturma iznini (nexus:capabilities:create) yalnızca güvendiğiniz yöneticilere sınırlandırın ve gereksiz kullanıcılardan bu izni kaldırın. Genel öneri
- Rut Auth yeteneğinin oluşturulup oluşturulmadığını yönetim arayüzünden kontrol edin; bilinmeyen bir yetenek varsa kaldırın. Genel öneri
Ek önlemler
- Yetki atamalarını periyodik olarak gözden geçirin ve en az ayrıcalık ilkesini uygulayın. Genel öneri
- Yönetici hesaplarına ait beklenmeyen giriş kayıtlarını ve yeni yetenek oluşturma olaylarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Sonatype Nexus Repository 3 | ≥ 3.0.0, < 3.98.0 | 3.98.0 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.