作者:Eddy  历史版本:1  最后编辑:龚清  更新时间:2024-05-28 11:18

编写版本:v3.5.4
适用版本:v3.5.0+

Nacos未授权访问漏洞

漏洞描述:
2020年12月29日,Nacos官方在github发布的issue中披露Alibaba Nacos 存在一个由于不当处理User-Agent导致的未授权访问漏洞 。通过该漏洞,攻击者可以进行任意操作,包括创建新用户并进行登录后操作

影响版本:Nacos <= 2.0.0-ALPHA.1
漏洞地址:GET http://IP:端口/nacos/v1/auth/users?pageNo=1&pageSize=9
利用方式:POST http://IP:端口/nacos/v1/auth/users?username=test1&password=test1

修改方法:修改Nacos的application.properties配置文件 将nacos.core.auth.enabled=false 改为true,并添加nacos.core.auth.system.type=nacos

### If turn on auth system:
nacos.core.auth.enabled=true
nacos.core.auth.system.type=nacos

修改应用配置文件(不然应用程序启动会报403 错误,注册不上nacos):
涉及文件:application-dev-nacos.yml/application-test-nacos.yml/application-prod-nacos.yml

# Nacos 注册中心
spring.cloud.nacos.discovery.username=nacos
spring.cloud.nacos.discovery.password=nacos@#2022

涉及文件:各个项目的bootstrap.yml

# Nacos 配置中心
spring.cloud.nacos.config.username=nacos
spring.cloud.nacos.config.password=nacos@#2022