Alibaba Nacos 认证绕过漏洞

地球胖头鱼 2021-01-13
Web安全 发布于 2021-01-13 11:30:31 阅读 199 评论 0

基本信息

  • 风险等级: 高危
  • 漏洞类型: 认证绕过
  • 漏洞利用: 暂无
  • 漏洞编号: 暂无

漏洞描述

近日,监测到Nacos官方在github发布的issue中披露Alibaba Nacos 存在一个由于不当处理User-Agent导致的认证绕过漏洞。通过该漏洞,攻击者可以进行任意操作,包括创建新用户并进行登录后操作。

受影响版本

  • Nacos <= 2.0.0-ALPHA.1

Alibaba Nacos 认证绕过漏洞

Nacos 致力于帮助发现、配置和管理微服务。Nacos 提供了一组简单易用的特性集,帮助您快速实现动态服务发现、服务配置、服务元数据及流量管理。Nacos 帮助更敏捷和容易地构建、交付和管理微服务平台。Nacos 是构建以“服务”为中心的现代应用架构 (例如微服务范式、云原生范式) 的服务基础设施。

漏洞复现:

修改application.properties配置文件开启鉴权后,对漏洞进行复现:可以看到绕过了鉴权,返回了用户列表数据。

Alibaba Nacos 认证绕过漏洞

影响范围

Nacos <= 2.0.0-ALPHA.1

解决方案

临时修复建议

若业务环境允许,使用白名单限制相关web项目的访问来降低风险。

通用修复建议

目前厂商未发布升级补丁修复漏洞,请受影响用户时刻关注官方信息。官方链接如下:

github.com/alibaba/nacos

情报来源

深信服千里目安全实验室

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!
地球胖头鱼
未填写
  • 作者发布文章187
  • 作者收获粉丝7
  • 作者收到点赞0
  • 所有文章被收藏了1
  • 博客总访问量排行第2
  • 博客总访问量3.4 万(每日更新)
查看所有博文