【已复现】Nacos 集群Raft反序列化漏洞安全风险通告第二次更新
【已复现】Nacos 集群Raft反序列化漏洞安全风险通告第二次更新
原创 QAX CERT 奇安信 CERT 2023-06-08 15:13
●
点击↑蓝字关注我们，获取更多安全风险通告
|
漏洞概述 |
|||
|
漏洞名称 |
Nacos 集群Raft反序列化漏洞 |
||
|
漏洞编号 |
QVD-2023-13065 |
||
|
公开时间 |
2023-05-25 |
影响对象数量级 |
万级 |
|
奇安信评级 |
高危 |
CVSS 3.1分数 |
8.1 |
|
威胁类型 |
代码执行 |
利用可能性 |
中 |
|
POC状态 |
已发现 |
在野利用状态 |
未发现 |
|
EXP状态 |
未发现 |
技术细节状态 |
已公开 |
|
危害描述：在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。 |
|||
（注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。）
01
漏洞详情
>
>
>
>
影响组件
Nacos是一个易于使用的平台，专为动态服务发现和配置以及服务管理而设计。可以帮助您轻松构建云原生应用程序和微服务平台。
>
>
>
>
漏洞描述
近日，奇安信CERT监测到Nacos 集群Raft反序列化漏洞(QVD-2023-13065)
，在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。
鉴于该漏洞仅影响集群间通信端口 7848（默认配置下），若部署时已进行限制或未暴露则风险可控，建议客户做好自查及防护。
本次更新内容：
新增漏洞复现截图；
新增产品解决方案；
修改PoC公开状态；
修改技术细节公开状态。
02
影响范围
>
>
>
>
影响版本
1.4.0 <= Nacos < 1.4.6
2.0.0 <= Nacos < 2.2.3
>
>
>
>
其他受影响组件
无
03
复现情况
目前奇安信CERT已成功复现该漏洞，截图如下：
04
处置建议
>
>
>
>
安全更新
目前官方已发布安全修复更新，受影响用户可以升级到Nacos 1.4.6
、Nacos 2.2.3
。
https://github.com/alibaba/nacos/releases/tag/1.4.6
https://github.com/alibaba/nacos/releases/tag/2.2.3
>
>
>
>
缓解措施
由于该漏洞仅影响7848端口（默认设置下），客户可通过禁止该端口的请求来缓解此漏洞。
>
>
>
>
产品解决方案
奇安信网站应用安全云防护系统已更新防护特征库
奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Nacos 集群Raft反序列化漏洞(QVD-2023-13065)的防护。
奇安信网神网络数据传感器系统产品检测方案
奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：52559，建议用户尽快升级检测规则库至2306081330以上。
05
参考资料
[1]https://github.com/alibaba/nacos/releases/tag/1.4.6
[2]https://github.com/alibaba/nacos/releases/tag/2.2.3
06
时间线
2023年6月6日，奇安信 CERT发布安全风险通告;
2023年6月8日，奇安信 CERT发布安全风险通告第二次更新。
07
深度分析报告
深度分析报告（含PoC和技术细节）已开通订阅，扫描图片
下方二维码申请：
奇安信 CERT
致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。
点击↓阅读原文，到NOX安全监测平台
查看更多漏洞信息。