Nexus Repository Manager 원격 코드 실행 시도(CVE-2019-7238)

Snort Rule 분석
SERVER-WEBAPP Sonatype Nexus Repository Manager remote code execution attempt
CVE-2019-7238을 활용하는 Sonatype Nexus Repository Manager 원격 코드 실행 시도가있을 때 생성됩니다.

 

Nexus Repository
Sonatype 에서 만든 저장소 관리자 프로젝트로 다양한 형태의 사설 저장소를 만들 수 있으며 메인 저장소를 Cache할 수 있는 기능 또한 제공하여 저장소를 관리할 수 있도록 도와주는 관리자 도구입니다.

 

CVE-2019-7238
->영향을받는 버전 : Nexus Repository Manager 3.6.2 OSS / Pro 버전 3.14.0 이하

관리 권한이있는 인증 된 공격자는 서버에 코드를 삽입하고 실행할 수 있으며 잠재적으로 기밀성, 무결성 및 가용성에 영향을 미칠 수 있습니다.

 

---

공격

POST /service/extdirect HTTP/1.1  {"action":"coreui_Component","data":[{"filter":[{"property":"repositoryName","value":"*"},{"property":"expression","value":"1==1"},{"property":"type","vaue":"jexl"}],"limit":50,"page":1,"sort":[{"direction":"ASC","property":"name"}],"start":0}],"method":"previewAssets","tid":18,"type":

UPLOAD 페이지에서 

 

 

POC를 이용한 계산기 실행

 

---

참고 사이트

www.snort.org/rule_docs/1-50533

https://chybeta.github.io/2019/02/18/Nexus-Repository-Manager-3-RCE-%E5%88%86%E6%9E%90-%E3%80%90CVE-2019-7238%E3%80%91/

support.sonatype.com/hc/en-us/articles/360010789153-CVE-2018-16621-Nexus-Repository-Manager-3-Java-Injection-2018-10-17