Nacos SQL注入导致的命令执行

fofa

app="NACOS"

一、漏洞简述

是一个动态服务发现、配置管理和服务管理平台,解决了在云原生应用程序构建过程中服务发现和动态配置等常见问题。它提供了服务发现和健康监测、动态配置管理、动态 DNS 服务以及集群管理和负载均衡等功能,设计目标是为构建云原生应用提供更易用的动态服务发现、配置和服务管理平台。Nacos 支持多种编程语言,并有丰富的生态系统支持,广泛应用于阿里巴巴集团内部的微服务架构和 Serverless 架构中。存在个SQL注入导致的命令执行漏洞。

二、已经有人把exp给了，懒得再做了

https://github.com/ayoundzw/nacos-poc

四、修复

官方已更新补丁，请升级至最新版本。