CVE-2024-5082

Übersicht

Dieses Repository enthält einen Python Proof of Concept für CVE-2024-5082, eine Schwachstelle zur Remote-Code-Ausführung in Sonatype Nexus Repository Manager 2.

Die Schwachstelle erlaubt einem Benutzer mit ausreichenden Berechtigungen, ein speziell präpariertes Maven-Artefakt zu veröffentlichen und es für die Verarbeitung durch den Velocity-Content-Generator zu markieren. Wenn das Artefakt abgerufen wird, wird die eingebettete Velocity-Vorlage von Nexus ausgewertet und kann einen Befehl im Sicherheitskontext der Nexus-JVM ausführen.

Laut Sonatype:

• betroffene Versionen umfassen Nexus Repository Manager 2.x bis einschließlich 2.15.1;
• das Problem wurde in 2.15.2 behoben;
• Nexus Repository 2 hat am 30. Juni 2025 das Ende seiner Lebensdauer erreicht und sollte zu Nexus Repository 3 migriert werden.

Wichtige Klarstellung zum Umfang

Der Befehl wird auf dem Nexus-Repository-Host ausgeführt.

Das Herunterladen des betroffenen Artefakts von einem Build-Server, Anwendungsserver oder Entwickler-Arbeitsplatz führt für sich genommen nicht zur Ausführung des eingebetteten Befehls auf dem konsumierenden System. Eine Kompromittierung eines Repository-Managers kann jedoch ein breiteres Lieferkettenrisiko schaffen, falls ein Angreifer später vertrauenswürdige Artefakte, Build-Eingaben, Anmeldeinformationen oder die Repository-Konfiguration modifiziert.

So funktioniert der PoC

Das Skript:

1. Erzeugt einen eindeutigen Marker-Pfad unter einem Maven-ähnlichen Namensraum.
2. Lädt eine präparierte maven-metadata.xml-Datei in ein ausgewähltes gehostetes Repository hoch.