Sonatype Nexus Repository 3.98.0 yedi açığı kapattı: kilitli hesaplar SSO ile yeniden girebiliyordu
Sonatype, Nexus Repository 3'te CVE-2026-113368 ile CVE-2026-113374 arasındaki yedi açığı 3.98.0 sürümüyle giderdi. En ağırı, Pro sürümde SAML ve OAuth2/OIDC girişinde yerel hesap durumunun denetlenmemesi (CVSS v4 9.1).
CVE-2026-113373, CVE-2026-113374, CVE-2026-113370
Sonatype, paket, container image ve imza anahtarlarını barındıran Nexus Repository 3 için 3.98.0 sürümünü yayımladı. Sürüm, CVE-2026-113368 ile CVE-2026-113374 arasındaki yedi açığı kapatıyor. En ağırı CVE-2026-113373 (CVSS v4 9.1, CWE-1390). Pro sürümde kullanıcı SAML ya da OAuth2/OpenID Connect kimlik sağlayıcısı üzerinden giriş yaptığında sunucu, yerel hesabın devre dışı ya da kilitli olup olmadığını denetlemiyor. Yerelde kilitlenmiş ama kimlik sağlayıcıda geçerli oturumu olan bir kullanıcı yeniden içeri girebiliyor.
Paketteki diğer başlıklar: CVE-2026-113374 (8.6) yetki yükseltme, CVE-2026-113370 (7.7) reindex görevinde SQL injection, CVE-2026-113371 ve CVE-2026-113372 (7.1) depo imza parolası ve YUM imza anahtarının yetersiz korunması, CVE-2026-113369 (6.3) OCI Attestations sekmesinde stored XSS, CVE-2026-113368 (5.3) grup depo üyelerinde yetkilendirme bypass. Sonatype'a göre istismar ya da açık exploit kodu yok. Yine de Nexus bir tedarik zinciri düğümü olduğu için imza materyaliyle ilgili açıklar önemli.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Nexus Repository 3 (tüm açıklar) | 3.98.0 öncesi | 3.98.0 |
| Nexus Repository 3 Pro (CVE-2026-113373) | Üretici bildirimindeki liste (bir kaynak 3.86.0–3.97.x aralığını veriyor) | 3.98.0 |
Kesin sürüm aralığı için Sonatype Nexus Security Advisory sayfasına bakın.
Beni etkiliyor mu?
- Arayüzde sürümü görün: sağ üstteki yardım menüsü › About ya da Administration › System › System Information.
- SSO kullanıyor musunuz: Administration › Security › Realms ekranında SAML ya da OAuth2/OIDC realm'inin etkin olup olmadığına bakın.
- Container kullanıyorsanız çalışan image etiketini kontrol edin:
docker ps --format "{{.Image}}"Ne yapılmalı?
- Nexus Repository 3'ü change management sürecine uygun bir pencerede 3.98.0'a yükseltin; internete açık ya da SSO kullanan kurulumlar önce gelsin.
- Yükseltme hemen mümkün değilse, ayrılan ya da kilitlenen kullanıcıların erişimini kimlik sağlayıcı tarafında da kapatın; yalnızca Nexus'ta kilitlemek yeterli değil.
- Yükseltme sonrası realm ve depo ayarlarını gözden geçirin, beklenmeyen yetki ve capability kayıtlarına bakın.
- Denetim kayıtlarında kilitli ya da devre dışı hesaplardan gelen SSO girişlerini arayın.
- İmza materyaliyle ilgili açıklar nedeniyle, depo imza ve YUM imza anahtarlarını kimlerin görebildiğini değerlendirin; şüphe varsa anahtar yenilemeyi planlayın.
