Sonatype Nexus Repository Manager Java 对象反序列化 RCE

critical Nessus 插件 ID 92467

语言：

简介

远程主机上运行的 Nexus Repository Manager 服务器受到一个远程代码执行漏洞的影响。

描述

远程主机上运行的 Sonatype Nexus Repository Manager 服务器应用程序受到一个远程代码执行漏洞的影响，造成该漏洞的原因是未经认证的 Java 对象对 Apache Commons Collections (ACC) 库不安全的反序列化调用。未经认证的远程攻击者可利用此漏洞，将特别构建的 Java 对象发送至 HTTP 接口，进而在目标主机上执行任意代码。

解决方案

升级到 Sonatype Nexus Repository Manager 版本 2.11.2-01 版或更高版本。

另见

http://www.nessus.org/u?9c6d83db

http://www.sonatype.org/advisories/archive/2016-06-20-Nexus/

插件详情

严重性: Critical

ID: 92467

文件名: sonatype_nexus_deserialization.nasl

版本: 1.5

类型: remote

系列: Misc.

发布时间: 2016/7/20

最近更新时间: 2018/11/15

支持的传感器: Nessus

风险信息

CVSS v2

风险因素: Critical

基本分数: 10

时间分数: 7.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

漏洞信息

CPE: cpe:/a:sonatype:nexus

必需的 KB 项: installed_sw/Sonatype Nexus

补丁发布日期: 2016/6/20

漏洞发布日期: 2015/1/28

参考资料信息

CERT: 576313