Nacos Jraft Rce

注：最新版本不存在相关漏洞。

漏洞复现

版本<=2.4.0.1

漏洞原理

之前分析nacos derby rce漏洞时候的一点发现，当时测试的单机模式导致没有看到期望的Processor

昨天中午看了下nacos集群模式下的其他Group的Processor发现在2.4.0.1版本及其之前中集群模式下存在一个名为nacos_config的Group，其Processor类型为com.alibaba.nacos.core.persistence.DistributedDatabaseOperateImpl，其onApply方法中存在类似nacos derby rce类似操作，可以任意SQL执行，外加使用内置数据源的情况下默认使用的是derby数据库，也就可以实现nacos derby rce复活。

在nacos高版本中引入了SqlTypeLimiter进行限制，对每条执行的SQL语句进行关键字判断，感觉经过一定构造还是有希望，不过需要注意的是和之前Nacos Jraft Hessian Rce有类似问题，那就是得确保流程没有出现异常，也就是构造的SQL语句需要符合语法且以这些关键字开头。

原文始发于微信公众号（安全之道）：Nacos Jraft Rce