Nacos 集群Raft反序列化漏洞安全风险通告

奇安信 CERT 2023-06-06 11:57

● 
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Nacos 集群Raft反序列化漏洞
漏洞编号	QVD-2023-13065
公开时间	2023-05-25	影响数量级	万级
漏洞等级	高危	漏洞评分	8.1
威胁类型	代码执行	利用可能性	中
POC状态	未发现	在野利用状态	未发现
EXP状态	未发现	技术细节状态	未发现
危害描述：在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。

01

漏洞详情

>
>
>
>

影响组件

Nacos是一个易于使用的平台，专为动态服务发现和配置以及服务管理而设计。可以帮助您轻松构建云原生应用程序和微服务平台。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到Nacos 集群Raft反序列化漏洞(QVD-2023-13065)，在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。
鉴于该漏洞仅影响集群间通信端口 7848（默认配置下），若部署时已进行限制或未暴露则风险可控，建议客户做好自查及防护。

02

影响范围

>
>
>
>

影响版本

1.4.0<=Nacos<1.4.6

2.0.0<=Nacos<2.2.3

>
>
>
>

其他受影响组件

无

03

处置建议

>
>
>
>

安全更新

目前官方已发布安全修复更新，受影响用户可以升级到Nacos 1.4.6、Nacos 2.2.3

https://github.com/alibaba/nacos/releases/tag/1.4.6

https://github.com/alibaba/nacos/releases/tag/2.2.3

>
>
>
>

缓解措施

由于该漏洞仅影响7848端口（默认设置下），客户可通过禁止该端口的请求来缓解此漏洞。

04

参考资料

[1]https://github.com/alibaba/nacos/releases/tag/1.4.6

[2]https://github.com/alibaba/nacos/releases/tag/2.2.3

05

时间线

2023年6月6日，奇安信 CERT发布安全风险通告。

奇安信 CERT

致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。

点击↓阅读原文，到NOX安全监测平台
查看更多漏洞信息。