CVE-2024-5764
Nexus Repository 3 - Frase de cifrado estática fijada en el código utilizada por defecto
- Publicado
- 23 oct 2024
- Actualizado
- 23 oct 2024
- Asignación de CNA
- Sonatype
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 33,1 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se ha descubierto una vulnerabilidad de uso de credenciales codificadas de forma rígida en Sonatype Nexus Repository en el código responsable de cifrar los secretos almacenados en la base de datos de configuración del Repositorio Nexus (credenciales de proxy SMTP o HTTP, tokens de usuario, tokens, entre otros). Las versiones afectadas se basaban en una frase de contraseña de cifrado estática y codificada de forma rígida. Si bien era posible que un administrador definiera una frase de contraseña de cifrado alternativa, solo se podía hacer en el primer arranque y no se actualizaba. Este problema afecta al Repositorio Nexus: desde la versión 3.0.0 hasta la 3.72.0.
Fuentes
1- CVE-2024-5764Exploit
Script de Python para descifrar datos cifrados por la clase Java PasswordCipher, explotando la clave de cifrado estática de CVE-2024-5764 en Sonatype Nexus Repository.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.