● 点击↑蓝字关注我们，获取更多安全风险通告
|
漏洞概述 |
|||
|
漏洞名称 |
Nacos 集群Raft反序列化漏洞 |
||
|
漏洞编号 |
QVD-2023-13065 |
||
|
公开时间 |
2023-05-25 |
影响数量级 |
万级 |
|
漏洞等级 |
高危 |
漏洞评分 |
8.1 |
|
威胁类型 |
代码执行 |
利用可能性 |
中 |
|
POC状态 |
未发现 |
在野利用状态 |
未发现 |
|
EXP状态 |
未发现 |
技术细节状态 |
未发现 |
|
危害描述：在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。 |
|||
影响组件
漏洞描述
近日，奇安信CERT监测到 Nacos 集群Raft反序列化漏洞(QVD-2023-13065)，在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。鉴于该漏洞仅影响集群间通信端口 7848（默认配置下），若部署时已进行限制或未暴露则风险可控，建议客户做好自查及防护。
影响版本
1.4.0<=Nacos<1.4.6
其他受影响组件
无
安全更新
https://github.com/alibaba/nacos/releases/tag/1.4.6
https://github.com/alibaba/nacos/releases/tag/2.2.3
缓解措施
由于该漏洞仅影响7848端口（默认设置下），客户可通过禁止该端口的请求来缓解此漏洞。
[1]https://github.com/alibaba/nacos/releases/tag/1.4.6
[2]https://github.com/alibaba/nacos/releases/tag/2.2.3
2023年6月6日，奇安信 CERT发布安全风险通告。
点击↓阅读原文，到NOX安全监测平台查看更多漏洞信息。
原文始发于微信公众号（奇安信 CERT）：Nacos 集群Raft反序列化漏洞安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论