nacos权限绕过及未授权访问(CVE-2021-29441)漏洞解决方案

【问题描述】

nacos权限绕过漏洞(CVE-2021-29441)及未授权访问漏洞解决方案。

nacos1.x版本如何升级到2.0.0版本？nacos开启权限认证，如何配置，应用如何配置？

【问题解答】

1.在nacos官网下载，建议下载版本2.0.0.bugfix

2.创建mysql数据库，并初始化数据库，{nacos-server-2.0.0安装目录}\nacos\conf\nacos-mysql.sql

3.修改nacos启动脚本，将nacos默认的集群版修改为"standalone"

4.{nacos-server-2.0.0安装目录}\nacos\lib下放驱动

5.{nacos-server-2.0.0安装目录}\nacos\conf\application.properties，放开如下注释并按实际配置。其他请按实际所需配置

6.启动验证，访问http://ip:8848/nacos，默认用户名密码nacos/nacos

6.配置应用中nacos相关配置

以AFCenter为例：

7.nacos开启权限认证，如何配置，应用如何配置

修改{nacos-server-2.0.0安装目录}\nacos\conf\application.properties

nacos.core.auth.enabled=true

若只配置上面的这个，访问nacos页面，则会直接报错。

因此，还需要再设置两个属性（数值可以随便填）。

nacos.core.auth.server.identity.key=authKey
nacos.core.auth.server.identity.value=nacosSecurty

这两个属性是auth的白名单，用于标识来自其他服务器的请求。

当nacos开启了权限认证，应用的配置，以AFCenter为例：

配置文件中增加nacos用户名和密码，具体以实际配置为准：

spring.cloud.nacos.username=nacos

spring.cloud.nacos.password=nacos

AFCenter中涉及的nacos相关配置文件：

application-nacos.properties

bootstrap.properties

更多请参见EOS Low-Code Platform 8