安全通告

电科网安预警“Nacos 身份认证绕过漏洞在野利用”，漏洞等级高危，强烈建议及时采取修复措施以避免受到损失。

漏洞名称：Nacos 身份认证绕过漏洞

漏洞编号：暂无

漏洞等级：高危

漏洞概要：

Nacos是阿里巴巴基于Java技术栈开发并开源的用于构建云原生应用的动态服务发现、配置管理和服务管理平台。Nacos 作为构建以“服务”为中心的现代应用架构 (例如微服务范式、云原生范式) 的服务基础设施，被广泛使用。

Nacos在近期发布的2.2.0.1版本中去掉了token.secret.key的默认值，在历史版本中token.secret.key有一个默认密钥，由于Nacos是开源项目，如果使用者未替换默认密钥，攻击者可以通过该已知密钥签发伪造JWT获得Nacos后台权限，进行添加用户、修改密码、获取微服务配置文件等敏感操作。

经跟踪研判，漏洞详情及POC已公开，已监测到在野利用。攻防实验室已复现该漏洞。

影响范围：

Nacos < 2.2.0.1

安全版本：

Nacos >= 2.2.0.1

修复方案：

Ø 步骤如下

1. 升级到安全版本

2. 开启鉴权并设置私有密钥（非常重要）

https://nacos.io/zh-cn/docs/v2/guide/user/auth.html

3. 修改Nacos默认密码（非常重要）

4. 禁止将Nacos服务暴露在公网（非常重要）

附录：

Ø Nacos安全版本官方仓库

https://github.com/alibaba/nacos/releases/tag/2.2.0.1