导航：首页 > 网络安全 >

Nexus Repository Manager 2.x 命令注入漏洞 (CVE-2019-5475) 两次绕过

发表于：2025-01-20 作者：千家信息网编辑

千家信息网最后更新 2025年01月20日，作者: Badcode and Longofo@知道创宇404实验室时间: 2020年2月9日原文链接: https://paper.seebug.org/1260/英文链接: https://pap

千家信息网最后更新 2025年01月20日Nexus Repository Manager 2.x 命令注入漏洞 (CVE-2019-5475) 两次绕过

作者: Badcode and Longofo@知道创宇404实验室

时间: 2020年2月9日

原文链接: https://paper.seebug.org/1260/

英文链接: https://paper.seebug.org/1261/

前言

2019年9月初我们应急了Nexus Repository Manager 2.x 命令注入漏洞(CVE-2019-5475)，其大致的原因和复现步骤在 YumCapability 的 activationCondition 方法中。

在上面 Path of "createrepo" 中设置的值会通过 getConfig().getCreaterepoPath() 获取到，获取到该值之后，调用 this.validate() 方法

传进来的 path 是用户可控的，之后将 path 拼接 --version 之后传递给 commandLineExecutor.exec() 方法，看起来像是执行命令的方法，而事实也是如此。跟进 CommandLineExecutor 类的 exec 方法

在执行命令前先对命令解析， CommandLine.parse()，会以空格作为分隔，获取可执行文件及参数。

最终是调用了 Runtime.getRuntime().exec()执行了命令。

例如，用户传入的 command 是 cmd.exe /c whoami，最后到 getRuntime().exec()方法就是 Runtime.getRuntime().exec({"cmd.exe","/c","whoami"})。

所以漏洞的原理也很简单，就是在 createrepo或者 mergerepo路径设置的时候，该路径可以由用户指定，中途拼接了 --version字符串，最终到了 getRuntime.exec()执行了命令。

漏洞复现

在 Path of "createrepo"里面传入 payload。

在 Status 栏可以看到执行的结果

第一次绕过分析

第一次补丁分析

官方补丁改了几个地方，关键点在这里

常规做法，在执行命令前对命令进行过滤。新增加了一个 getCleanCommand() 方法，对命令进行过滤。

allowedExecutables是一个 HashSet，里面只有两个值， createrepo和 mergerepo。先判断用户传入的 command是否在 allowedExecutables里面，如果在，直接拼接 params即 --version直接返回。接着对用户传入的 command进行路径判断，如果是以nexus的工作目录( applicationDirectories.getWorkDirectory().getAbsolutePath())开头的，直接返回 null。继续判断，如果文件名不在 allowedExecutables则返回 null，也就是这条命令需要以 /createrepo或者 /mergerepo结尾。都通过判断之后，文件的绝对路径拼接 --version 之后变成了 cmd.exe \c whoami，后面是执行不了的。可以直接执行exe，注意后面是还会拼接 --version的，所以很多命令是执行不了的，但是还是有办法利用能执行任意exe这点来做后续的攻击的。