Nexus 仓库管理软件3.45.0版本升级3.68.1版本修复任意文件下载高危漏洞

记录一次 nexus 版本升级 修复任意文件下载漏洞

前提说明，当前生产环境nexus版本为3.45.0 存在任意文件下载攻击如下连接可自测

http://xxx.xxx.xxx.xxx:8081/%2F%2F%2F%2F%2F%2F%2F%2F%2F%2F%2F%2F%2F%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Fetc%2Fpasswd

根据防护说明将nexus升级到3.68.1即可规避高危漏洞风险

1. 备份nexus目录文件

tar -czvf nexus_backup_20250912.tar.gz   /home/docker-compose/nexus3/nexus-data

1. 测试环境部署 nexus3.45.0 （现在测试环境模拟当前生成环境）

docker pull sonatype/nexus3:3.45.0   拉取相同版本镜像

1. 恢复备份数据

tar -xvf nexus_backup_20250912.tar.gz -C /home

1. 启动容器

[root@localhost nexus-data]# docker run -d --name nexus3  \

-v /home/docker-compose/nexus3/nexus-data:/nexus-data  \

-p 8081:8081 \

 sonatype/nexus3:3.45.0

提示以下操作即成功

docker logs -f nexus3   #根据该命令看容器服务启动状态，预计1-2分钟启动

补充说明：

docker ps -a  查看是否已存在

docker rm -f nexus3   移除后重新操作

1. 升级操作

[root@localhost home]# docker stop nexus3

[root@localhost home]# docker pull sonatype/nexus3:3.68.1

[root@localhost home]# docker run -d --name nexus3_upgrade \

> -v /home/docker-compose/nexus3/nexus-data:/nexus-data \

> -p 8081:8081 \

> sonatype/nexus3:3.68.1

1. 升级后验证

漏洞验证

1. 扩展内容，在执行第4步和第5步经常会报错，会出现启动容器失败，网络问题或者其他因素（1）网络问题，请先修改vim /etc/docker/daemon.json

{

  "registry-mirrors": [

    "https://docker.m.daocloud.io",

    "https://docker.nju.edu.cn",

    "https://hub-mirror.c.163.com",

    "https://registry.docker-cn.com"

  ]

}

关闭防火墙、selinux配置为关闭状态

修改vim /etc/resolv.conf  

nmeserver 8.8.8.8 

nmeserver 8.8.4.4

（2）其他问题，可使用

docker ps -a  查看是否已存在 比如nexues3 实列

docker rm -f nexus3   移除后重新进行第2步和第4步操作。