CVE-2020-10199
Sonatype Nexus Repository Remote Code Execution Vulnerability
Beschreibung
CVE-2020-10199 ist eine hochkritische Expression-Language-Injection-Schwachstelle im Sonatype Nexus Repository Manager. Versionen vor 3.21.2 ermöglichen es authentifizierten Angreifern, beliebige Java-Expression-Language-Anweisungen einzuschleusen und auszuführen, was zu Remote-Code-Ausführung auf dem zugrunde liegenden Server führt. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,38 % (99,97. Perzentil) weist CVE-2020-10199 eine nahezu sichere Ausnutzungswahrscheinlichkeit auf, wodurch eine sofortige Aktualisierung für alle Organisationen mit betroffenen Sonatype-Nexus-Repository-Instanzen unerlässlich ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonatype | nexus | < 3.21.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157261/Nexus-Repository-Manager-3.21.1-01-Remote-Code-Execution.html(Patch, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/160835/Sonatype-Nexus-3.21.1-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://cwe.mitre.org/data/definitions/917.html(Third Party Advisory)
- https://support.sonatype.com/hc/en-us/articles/360044882533(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-10199(US Government Resource)
Schwachstellentyp
CWE-917: Unsachgemäße Neutralisierung spezieller Elemente in einer Expression-Language-Anweisung ('Expression Language Injection')
Expression Language Injection tritt auf, wenn benutzergesteuerte Eingaben ohne ordnungsgemäße Sanitisierung in EL-Anweisungen eingebettet werden. Im Fall des Sonatype Nexus Repository Manager ermöglicht diese Schwäche authentifizierten Benutzern, bösartige EL-Ausdrücke zu erstellen, die vom Server ausgewertet werden und die Ausführung beliebigen Codes sowie den Zugriff auf sensible interne Anwendungsdaten ermöglichen.
Mehr erfahren: CWE-917 — Expression Language Injection
Auswirkungsanalyse
CVE-2020-10199 hat einen CVSS-3.1-Score von 8,8 (HIGH) und stellt eine ernsthafte Bedrohung für Organisationen dar, die den Sonatype Nexus Repository Manager verwenden. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar und erfordert nur eine Authentifizierung mit niedrigen Rechten sowie keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung führt zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit – ein Angreifer kann sensible Daten lesen, Repository-Inhalte manipulieren und die Dienstverfügbarkeit stören. Der EPSS-Score von 94,38 % platziert diese Schwachstelle im 99,97. Perzentil, was auf eine nahezu sichere aktive Ausnutzung hinweist. Organisationen, die Nexus Repository für das Artefaktmanagement nutzen, sind einem kritischen Lieferkettenrisiko ausgesetzt, wenn diese Schwachstelle ungepatcht bleibt.
Exploit-Reifegrad
CVE-2020-10199 verfügt über eine hochentwickelte Exploit-Landschaft. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, und zusätzliches Exploit-Material wurde bei Packet Storm Security veröffentlicht, was die Hürde für Angreifer erheblich senkt. CISA hat die aktive Ausnutzung durch die Aufnahme in den KEV-Katalog bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 94,38 % weist auf eine nahezu sichere Ausnutzungsaktivität hin und macht dies zu einer der am aktivsten angegriffenen Schwachstellen im Nexus-Repository-Ökosystem.
Behebung
- Updates sofort anwenden gemäß CISA-KEV-Anforderung: Aktualisieren Sie den Sonatype Nexus Repository Manager auf Version 3.21.2 oder höher, die die EL-Injection-Schwachstelle behebt.
- Überprüfen Sie, ob alle Nexus-Repository-Instanzen mit Versionen vor 3.21.2 identifiziert und aktualisiert wurden. Konsultieren Sie die Herstellerempfehlung im Sonatype-Support-Portal für spezifische Upgrade-Anweisungen.
- Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die Nexus-Repository-Manager-Administrationsoberfläche mittels Firewall-Regeln und Netzwerksegmentierung und erzwingen Sie strenge Authentifizierungskontrollen.
- Überwachen Sie die Nexus-Repository-Logs auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher API-Aufrufe, unerwarteter Expression-Auswertungsfehler und unautorisierter Repository-Änderungen. Prüfen Sie Zugriffslogs auf verdächtige authentifizierte Sitzungen.
- Langfristig sollten Sie die Expression-Language-Auswertung deaktivieren, wo sie nicht benötigt wird, alle Benutzereingaben vor der Einbindung in serverseitige Ausdrücke sanitisieren und Defense-in-Depth implementieren, indem Sie zugängliche Klassen und Methoden innerhalb der Anwendungslaufzeit einschränken.
Technische Details
CVE-2020-10199 nutzt eine Java-Expression-Language-(EL)-Injection-Schwachstelle in Sonatype Nexus Repository Manager Versionen vor 3.21.2 aus. Die Schwachstelle entsteht, weil benutzergesteuerte Eingaben ohne ordnungsgemäße Neutralisierung spezieller Elemente in EL-Anweisungen eingebunden werden, was einem authentifizierten Angreifer ermöglicht, bösartige Ausdrücke einzuschleusen, die der Server auswertet. Der CVSS-Vektorstring (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass die Ausnutzung netzwerkbasiert mit geringer Komplexität erfolgt, nur niedrige Privilegien erfordert und zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit innerhalb der verwundbaren Komponente führt. Dies ist als erstes von zwei verwandten EL-Injection-Problemen klassifiziert, die im Produkt entdeckt wurden, was auf ein systematisches Muster unzureichender Eingabesanitisierung in der Expression-Auswertungspipeline hinweist.
Häufig gestellte Fragen
Wird CVE-2020-10199 aktiv ausgenutzt?
Ja. CVE-2020-10199 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestätigt. Der EPSS-Score von 94,38 % (99,97. Perzentil) weist auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin, und mehrere öffentliche Exploits sind verfügbar.
Welche Produkte sind von CVE-2020-10199 betroffen?
CVE-2020-10199 betrifft den Sonatype Nexus Repository Manager in Versionen vor 3.21.2. Organisationen, die eine Version unter 3.21.2 verwenden, sollten dies als dringende Patch-Priorität behandeln.
Wie behebe ich CVE-2020-10199?
Aktualisieren Sie den Sonatype Nexus Repository Manager auf Version 3.21.2 oder höher. Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die Nexus-Administrationsoberfläche und erzwingen Sie strenge Authentifizierungsrichtlinien.
Wie schwerwiegend ist CVE-2020-10199?
CVE-2020-10199 hat einen CVSS-3.1-Score von 8,8 (HIGH) und einen EPSS-Score im 99,97. Perzentil. Die Schwachstelle ermöglicht authentifizierte Remote-Code-Ausführung und stellt eine kritische Bedrohung dar, die sofortige Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.