Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Sonatype Nexus Repository (CVE-2024-5764)

Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-798 Credenciales embebidas en el software
Fecha de publicación:
23/10/2024
Última modificación:
06/11/2024

Descripción

Se ha descubierto una vulnerabilidad de uso de credenciales codificadas de forma rígida en Sonatype Nexus Repository en el código responsable de cifrar los secretos almacenados en la base de datos de configuración del Repositorio Nexus (credenciales de proxy SMTP o HTTP, tokens de usuario, tokens, entre otros). Las versiones afectadas se basaban en una frase de contraseña de cifrado estática y codificada de forma rígida. Si bien era posible que un administrador definiera una frase de contraseña de cifrado alternativa, solo se podía hacer en el primer arranque y no se actualizaba. Este problema afecta al Repositorio Nexus: desde la versión 3.0.0 hasta la 3.72.0.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:sonatype:nexus:*:*:*:*:*:*:*:* 3.0.0 (incluyendo) 3.73.0 (excluyendo)


Referencias a soluciones, herramientas e información