阿里 Nacos 惊爆，安全漏洞以绕过身份验证（附修复建议）

最新推荐文章于 2024-08-18 12:59:59 发布

有故事的程序员

最新推荐文章于 2024-08-18 12:59:59 发布

阅读量1.5k

点赞数

分类专栏： Java 文章标签： java spring spring boot 安全 spring cloud alibaba

本文链接：https://blog.csdn.net/m0_52987358/article/details/112830030

版权

文章揭示了Nacos 1.4.1版本中一个关于User-Agent绕过身份验证的安全漏洞，详细介绍了漏洞细节、影响范围和复现过程。作者提供了修复建议，包括更新到最新版本来防止鉴权问题，并提醒用户关注官方修复的bug。

摘要由CSDN通过智能技术生成

来源：github.com/alibaba/nacos/issues/4701
一、漏洞详情
二、漏洞影响范围
三、漏洞复现
三、修复建议
BugFix
大家好，我是threedr3am，我发现nacos最新版本1.4.1对于User-Agent绕过安全漏洞的serverIdentity key-value修复机制，依然存在绕过问题，在nacos开启了serverIdentity的自定义key-value鉴权后，通过特殊的url构造，依然能绕过限制访问任何http接口。
通过查看该功能，需要在application.properties添加配置nacos.core.auth.enable.userAgentAuthWhite:false，才能避免User-Agent: Nacos-Server绕过鉴权的安全问题。
但在开启该机制后，我从代码中发现，任然可以在某种情况下绕过，使之失效，调用任何接口，通过该漏洞，我可以绕过鉴权，做到：
调用添加用户接口，添加新用户（POST https://127.0.0.1:8848/nacos/v1/auth/users?username=test&password=test）,然后使用新添加的用户登录console，访问、修改、添加数据。
一、漏洞详情
问题主要出现在com.alibaba.nacos.core.auth.AuthFilter#doFilter:

public class AuthFilter implements Filter {
   

    @Autowired
    private AuthConfigs authConfigs;

    @Autowired
    private AuthManager authManager;

    @Autowired
    private ControllerMethodsCache methodsCache;

    private Map<Class<? extends ResourceParser>, ResourceParser> parserInstance = new ConcurrentHashMap<>();

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
   

        if (!authConfigs.isAuthEnabled()) {
   
            chain.doFilter(request, response);
            return;
        }

        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;

        if (authConfigs.isEnableUserAgentAuthWhite()) {
   
            String userAgent = WebUtils.getUserAgent(req);
            if (StringUtils.startsWith(userAgent, Constants.NACOS_SERVER_HEADER)) {
   
                chain.doFilter(request, response);
                return;
            }
        } else if (StringUtils.isNotBlank(authConfigs.getServerIdentityKey()) && StringUtils
                .isNotBlank(authConfigs.getServerIdentityValue())) {
   
            String serverIdentity = req.getHeader(authConfig