● 点击↑蓝字关注我们,获取更多安全风险通告
漏洞概述 |
|||
漏洞名称 |
Nacos 集群Raft反序列化漏洞 |
||
漏洞编号 |
QVD-2023-13065 |
||
公开时间 |
2023-05-25 |
影响对象数量级 |
万级 |
奇安信评级 |
高危 |
CVSS 3.1分数 |
8.1 |
威胁类型 |
利用可能性 |
中 |
|
POC状态 |
已发现 |
在野利用状态 |
未发现 |
EXP状态 |
未发现 |
技术细节状态 |
已公开 |
危害描述:在Nacos集群处理部分Jraft请求时,攻击者可以无限制使用hessian进行反序列化利用,最终实现代码执行。 |
(注:奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节,订阅方式见文末。)
影响组件
Nacos是一个易于使用的平台,专为动态服务发现和配置以及服务管理而设计。可以帮助您轻松构建云原生应用程序和微服务平台。
漏洞描述
近日,奇安信CERT监测到 Nacos 集群Raft反序列化漏洞(QVD-2023-13065),在Nacos集群处理部分Jraft请求时,攻击者可以无限制使用hessian进行反序列化利用,最终实现代码执行。鉴于该漏洞仅影响集群间通信端口 7848(默认配置下),若部署时已进行限制或未暴露则风险可控,建议客户做好自查及防护。
本次更新内容:
影响版本
1.4.0 <= Nacos < 1.4.6
2.0.0 <= Nacos < 2.2.3
其他受影响组件
目前奇安信CERT已成功复现该漏洞,截图如下:
>>>>
安全更新
目前官方已发布安全修复更新,受影响用户可以升级到Nacos 1.4.6、Nacos 2.2.3。
https://github.com/alibaba/nacos/releases/tag/1.4.6
https://github.com/alibaba/nacos/releases/tag/2.2.3
缓解措施
[1]https://github.com/alibaba/nacos/releases/tag/1.4.6
[2]https://github.com/alibaba/nacos/releases/tag/2.2.3
2023年6月6日,奇安信 CERT发布安全风险通告;
2023年6月8日,奇安信 CERT发布安全风险通告第二次更新。
深度分析报告(含PoC和技术细节)已开通订阅,扫描图片下方二维码申请:
原文始发于微信公众号(奇安信 CERT):【已复现】Nacos 集群Raft反序列化漏洞安全风险通告第二次更新
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论