何が起きたか・対象

Nexus Repository 2のRemote Browser Pluginで、未認証の利用者がサーバーの外部取得先を操作し、指定した宛先へHTTP GETを送らせるSSRFが報告されました。識別子はCVE-2025-9868です。

プロキシリポジトリは、Nexusが外部の配布先から取得したパッケージなどを利用者へ提供する仕組みです。Remote Browser Pluginは、その遠隔リポジトリをBrowse Remoteとして閲覧する機能を提供します。本件ではこの外部取得経路が操作され、正規の配布先に使う認証設定を別の宛先への通信にも使うおそれがありました。

攻撃者が取得先を自分のサーバーへ向けると、Nexusがそこへ通信します。プロキシリポジトリに正規の配布先へ接続するための認証情報があると、別の宛先への通信にも含めてしまうおそれがあります。攻撃者は自身のサーバーで受け取ったリクエストから、その資格情報を取得できます。

開発元が公開した技術詳細は限定され、未確認のURLパラメータやヘッダー形式は補いません。攻撃者の宛先へのGETと、設定に応じた資格情報漏えいが確認範囲で、任意の内部操作やコード実行まで成功すると一般化しません。2.x向けの修正版は提供されず、機能停止や3への移行が必要です。 公開された前提は、プラグインが有効で、資格情報漏えいについてはプロキシリポジトリに認証設定があることです。それ以外の送信判定の細部は非公開で、全ての認証設定で常に同じ値が漏れるとは断定できません。

報告・修正・公開の時系列

Nexus Repository 2は2025-06にEOL（サポート終了）となり、10-08に本件が公表されました。開発元は2.x向けの修正を提供しないと説明しています。

正常ならどう動くはずだったか

プロキシリポジトリの取得機能は、管理者が登録した配布先のデータを、Nexusのサーバーから取得します。管理者が接続用に設定した資格情報も、その正規の相手へだけ送る必要があります。未認証の利用者が選んだ別のホストへ、同じ資格情報を引き継いではいけません。

技術的な原因

Remote Browser Pluginは、ログインしていない利用者のHTTPリクエストから、Nexusによる外部取得を操作できる状態でした。取得先を攻撃者のサーバーへ向けてもGETを送信でき、プロキシリポジトリの認証設定によっては、通信へ接続用の資格情報も含まれると開発元は説明しています。URL処理の内部実装は限定公開なので、未確認のパラメータやヘッダー形式は追加しません。

攻撃が成立する条件と流れ

プラグインが有効なNexus Repository 2へ到達できる攻撃者が、取得先として自分のサーバーを指定します。Nexusがその指定先へHTTP GETを送り、攻撃者は自分のサーバーで通信を受け取ります。接続用の資格情報も含めて送られる設定なら、攻撃者はそのリクエストから秘密を入手するおそれがあります。

確認された事実と、想定される影響

開発元が確認している範囲は、攻撃者が選ぶ宛先へのGETと、認証設定に応じた資格情報漏えいです。取得した資格情報を別サービスへの認証に再利用できるかは、その有効性・権限・接続条件によります。あらゆる内部サービスの操作やサーバーでのコード実行まで確認したとは扱わず、実際の侵害状況も未確認として区別します。

実際の修正・対応方針

2.xの修正リリースはありません。開発元はNexus Repository 3への移行を勧め、すぐ移行できない場合はプラグインの停止・削除と送信先制限を案内しています。プラグインを止めると、未認証の要求で取得先を操作する機能を使えなくできます。

利用者・運用者が確認すること

2.xの使用箇所を把握して移行を進めます。暫定対応の有効性も確認し、漏れた疑いがある資格情報は失効・再発行して、接続先側の使用履歴を点検します。

開発者への教訓（教材としての考察）

一般設計では、外部から渡された取得先を管理者が登録した配布先へ限定し、資格情報も対応する宛先だけへ付けます。ただし本製品の2.xには修正版がないため、この一般策を実装済みとみなせません。利用者が選べる対応は、機能停止・送信先制限やサポート対象製品への移行です。

出典・確認範囲

  1. [1] Nexus Repository 2 – SSRF Vulnerability in Remote Browser PluginSonatype / 確認日 2026-10-29
未確認事項・限界

開発元は技術詳細を限定しています。実悪用の状態と内部の修正方式は判断できません。