Nexus Repository 3に脆弱性、読み取り権限のみのアカウントで YUM署名鍵が漏えいするおそれ
Summary
Nexus Repository 3では、YUMのプロキシ・グループリポジトリの秘密署名鍵が、読み取り権限しかないアカウントに返される脆弱性が見つかりました。鍵を持つ第三者は、そのリポジトリとしてメタデータに署名できるおそれがあります。3.93.0以上3.98.0未満が対象で、3.98.0で修正されています。該当するバージョンの利用者は、修正版へのアップデートを急ぐことをおすすめします。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Nexus Repository 3では、YUMのプロキシ・グループリポジトリの秘密署名鍵が、読み取り権限しかないアカウントに返される脆弱性が見つかりました。鍵を持つ第三者は、そのリポジトリとしてメタデータに署名できるおそれがあります。3.93.0以上3.98.0未満が対象で、3.98.0で修正されています。該当するバージョンの利用者は、修正版へのアップデートを急ぐことをおすすめします。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Sonatype | Nexus Repository 3 |
≥ 3.93.0, < 3.98.0 |
3.98.0 |
Original description The description as published by the source.
Sonatype Nexus Repository 3 returns the private signing key of a YUM proxy or group repository to an account that holds only the read privilege for administering that repository. The account does not need the privilege to edit the repository. A party that holds the key can sign repository metadata as that repository.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web help.sonatype.com
- web support.sonatype.com
- web nvd.nist.gov
- web support.sonatype.com
- web github.com