QVD-2023-13065-关于Nacos集群Raft反序列化漏洞整改报告

关于Nacos集群Raft反序列化漏洞整改报告

本次漏洞整改报告，针对我公司某应用在应用程序中存在反序列化漏洞的问题进行整改，切实保障系统的安全性。

1. 漏洞背景

Nacos（Dynamic Naming and Configuration Service）是一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。Nacos 提供注册中心、配置中心和动态 DNS 服务三大功能，能够无缝对接Springcloud、Spring、Dubbo等流行框架。近日，新华三盾山实验室监测到Nacos集群Raft反序列化漏洞相关信息，攻击者利用该漏洞可通过反序列化利用实现执行恶意代码。

1. 漏洞详情

由于Nacos集群中存在Raft反序列化漏洞，在Nacos集群处理部分Jraft请求时，恶意攻击者可以通过使用hessian进行反序列化利用，从而实现代码执行。该漏洞在Nacos默认配置下仅影响集群间的7848通信端口。

1. 整改方案

3.1升级措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：

https://github.com/alibaba/nacos/releases/tag/1.4.6

https://github.com/alibaba/nacos/releases/tag/2.2.3

3.2临时解决措施

1、禁止7848端口（默认配置下）的请求。

2、关闭Nacos服务的外网请求端口。

4.总结

Nacos集群Raft反序列化漏洞是系统安全中新出现的问题，我们需要加强安全意识和管理，同时对系统的安全性进行评估和监测，及时发现并解决风险，保障系统的安全。