探索 Nacos反序列化漏洞CNVD-2023-45001
原文中文，约900字，阅读约需3分钟。
📝
内容提要
Nacos 2.1.0版本存在反序列化缺陷，可能带来严重的安全威胁。已采取修复措施。
🔎
延伸解读
漏洞影响范围与触发条件
该漏洞影响 Alibaba Nacos 1.4.0 至 1.4.6 的 cluster 集群模式，以及 2.0.0 至 2.2.3 的任意运行形式。攻击者可通过向默认监听的 7848 端口发送恶意构造的数据包，利用 Jraft 请求处理中未约束的 Hessian 反序列化执行任意远程代码。使用这些版本的用户需尽快排查。
升级修复的注意事项
官方建议将 Nacos 升级至 2.2.3 版本以修复漏洞。实际升级过程较为顺利，数据库无需调整，但配置文件存在小差异，主要集中在鉴权参数的默认值上。2.2.3 版本默认未开启鉴权，用户需根据官方文档手动开启并设置鉴权参数，否则可能引入新的安全风险。
安全加固的持续意义
此次漏洞提醒我们，安全是软件开发中的重中之重。即使升级修复了当前问题，也需重视后续的安全加固工作，及时关注供应商公告并采取相应措施，才能保障系统的安全稳定运行。
❓
Q&A
Nacos 2.1.0版本的反序列化漏洞是什么？
Nacos 2.1.0版本存在反序列化缺陷，攻击者可通过向7848端口发送恶意数据包执行任意远程代码。
如何修复Nacos的反序列化漏洞？
解决方案是将Nacos版本升级到2.2.3，并根据官方文档开启鉴权。
受影响的Nacos版本有哪些？
受影响的版本包括1.4.0到1.4.6的Alibaba Nacos和2.0.0到2.2.3的任意形式。
这个漏洞的公开日期和编号是什么？
漏洞编号为CNVD-2023-45001，公开日期为2023-06-08。
Nacos 2.2.3版本与2.1.0版本的配置文件有什么不同？
主要差异在于鉴权参数的默认值，2.2.3版本默认未开启鉴权。
为什么反序列化漏洞会带来安全威胁？
反序列化漏洞允许攻击者执行任意远程代码，可能导致系统被控制或数据泄露。
🏷️
