漏洞描述
2023年6月7日公司監(jiān)測到Nacos系統(tǒng)存在反序列化漏洞（CERT-R-2023-204）。Nacos 是一個(gè)易于構(gòu)建云原生應(yīng)用的動態(tài)服務(wù)發(fā)現(xiàn)、配置管理和服務(wù)管理平臺，廣泛應(yīng)用于各個(gè)行業(yè)。該漏洞是由于Nacos的7848端口（默認(rèn)配置，是Nacos集群間Raft協(xié)議的通信端口）在處理Raft請求時(shí)，攻擊者可以無限制使用hessian進(jìn)行反序列化利用，最終實(shí)現(xiàn)代碼執(zhí)行。
漏洞危害
Nacos的7848端口（默認(rèn)配置，是Nacos集群間Raft協(xié)議的通信端口）在處理Raft請求時(shí)，攻擊者可以無限制使用hessian進(jìn)行反序列化利用，最終實(shí)現(xiàn)代碼執(zhí)行。
漏洞編號
CERT-R-2023-204
漏洞等級
高危
影響范圍：
1.4.0>=Nacos<1.4.6 ；2.0.0>=Nacos<2.2.3
修復(fù)方案
當(dāng)前官方已發(fā)布安全版本的系統(tǒng)，建議受影響的用戶及時(shí)升級到安全版本。
鏈接如下：
Nacos 1.4.6
https://github.com/alibaba/nacos/releases/tag/1.4.6
Nacos 2.2.3
https://github.com/alibaba/nacos/releases/tag/2.2.3
參考鏈接
https://cert.#/warning/detail?id=648037e9d5b5ed368982cdc7