作者:Eddy 历史版本:1 最后编辑:龚清 更新时间:2024-07-30 14:35
编写版本:v3.5.4
适用版本:v3.5.0+
Nacos未授权访问漏洞
漏洞描述:
2020年12月29日,Nacos官方在github发布的issue中披露Alibaba Nacos 存在一个由于不当处理User-Agent导致的未授权访问漏洞 。通过该漏洞,攻击者可以进行任意操作,包括创建新用户并进行登录后操作
影响版本:Nacos <= 2.0.0-ALPHA.1
漏洞地址:GET http://IP:端口/nacos/v1/auth/users?pageNo=1&pageSize=9
利用方式:POST http://IP:端口/nacos/v1/auth/users?username=test1&password=test1
修改方法:修改Nacos的application.properties配置文件 将nacos.core.auth.enabled=false 改为true,并添加nacos.core.auth.system.type=nacos
### If turn on auth system:
nacos.core.auth.enabled=true
nacos.core.auth.system.type=nacos
修改应用配置文件(不然应用程序启动会报403 错误,注册不上nacos):
涉及文件:application-dev-nacos.yml/application-test-nacos.yml/application-prod-nacos.yml
# Nacos 注册中心
spring.cloud.nacos.discovery.username=nacos
spring.cloud.nacos.discovery.password=nacos@#2022
涉及文件:各个项目的bootstrap.yml
# Nacos 配置中心
spring.cloud.nacos.config.username=nacos
spring.cloud.nacos.config.password=nacos@#2022