つみかさね

CVE-2026-5189

Critical(9.8)

Sonatype Nexus Repositoryのハードコード認証情報 CVE-2026-5189：影響範囲と対応方法

公開日: 2026-09-19データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Nexus Repository ManagerSonatype3.0.0 - 3.70.5

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

  1. 1Nexus のバージョンと nexus.orient.binaryListenerEnabled 設定を確認する
  2. 23.71.0 以降へアップデートする
  3. 3更新が困難な場合は binaryListenerEnabled を無効（デフォルト）に戻す

影響対象

Sonatype Nexus 運用者アーティファクトリポジトリ管理者

対応不要な人

  • ✓Sonatype Nexus Repository Manager を使用していない
  • ✓binaryListener を無効（デフォルト）で運用している
  • ✓3.71.0 以降へ更新済み

補足

  • -悪用には非デフォルトの binaryListenerEnabled=true が必要
CVESonatype Nexusハードコード認証情報RCE

30秒で判断

  • 対応すべき人: Sonatype Nexus Repository Manager 3 を 3.0.0 〜 3.70.5 で運用し、nexus.orient.binaryListenerEnabled=true（非デフォルト）を有効にしている方
  • 対応不要な人: Nexus を使用していない、binaryListener を無効（デフォルト）で運用している、3.71.0 以降へ更新済みの方
  • 確認コマンド: Nexus のバージョンと nexus.orient.binaryListenerEnabled 設定を確認
  • クイックアクション: 3.71.0 以降へアップデート

概要

Sonatype Nexus Repository Manager バージョン 3.0.0 〜 3.70.5 にハードコードされた認証情報（CWE-798）が存在します。ネットワークアクセスを持つ未認証の攻撃者が内部データベースへの読み書き権限を不正取得し、Nexus プロセスのユーザー権限で任意のOSコマンドを実行できる可能性があります。

ただし悪用には、デフォルトでは無効の nexus.orient.binaryListenerEnabled=true 設定が有効になっている必要があります。この設定を使用していない環境は影響を受けません。CVSSスコアは 9.8（Critical） です。

CVSSベクトル

項目値
CVSSスコア9.8
深刻度Critical
CWECWE-798（ハードコードされた認証情報の使用）
前提条件binaryListenerEnabled=true（非デフォルト）

影響を受けるソフトウェア

製品ベンダー影響バージョン
Nexus Repository ManagerSonatype3.0.0 〜 3.70.5

修正バージョンと回避策

3.71.0 以降へアップデートしてください。すぐに更新できない場合は、nexus.orient.binaryListenerEnabled を無効（デフォルト）に戻すことで悪用条件を解消できます。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-5189
Release Noteshttps://help.sonatype.com/en/sonatype-nexus-repository-3-71-0-release-notes.html
Sonatype Supporthttps://support.sonatype.com/hc/en-us/articles/50817138825491

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-5189
Release Notes:https://help.sonatype.com/en/sonatype-nexus-repository-3-71-0-release-notes.html
Sonatype Support:https://support.sonatype.com/hc/en-us/articles/50817138825491
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。