Vulnerabilidad en Sonatype Nexus Repository (CVE-2024-5764)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-798
Credenciales embebidas en el software
Fecha de publicación:
23/10/2024
Última modificación:
06/11/2024
Descripción
Se ha descubierto una vulnerabilidad de uso de credenciales codificadas de forma rígida en Sonatype Nexus Repository en el código responsable de cifrar los secretos almacenados en la base de datos de configuración del Repositorio Nexus (credenciales de proxy SMTP o HTTP, tokens de usuario, tokens, entre otros). Las versiones afectadas se basaban en una frase de contraseña de cifrado estática y codificada de forma rígida. Si bien era posible que un administrador definiera una frase de contraseña de cifrado alternativa, solo se podía hacer en el primer arranque y no se actualizaba. Este problema afecta al Repositorio Nexus: desde la versión 3.0.0 hasta la 3.72.0.
Impacto
Puntuación base 4.0
5.90
Gravedad 4.0
MEDIA
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:sonatype:nexus:*:*:*:*:*:*:*:* | 3.0.0 (incluyendo) | 3.73.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página