Nacos Derby 远程命令执行漏洞(QVD-2024-26473)

0x01 产品简介

Nacos 是一个功能强大的服务注册与发现、配置管理平台，为微服务架构和云原生应用提供了重要的基础设施支持。

0x02 漏洞概述

由于Alibaba Nacos部分版本中derby数据库默认可以未授权访问，恶意攻击者利用此漏洞可以未授权执行SQL语句，最终导致任意代码执行。目前该漏洞PoC已在互联网上公开，鉴于该漏洞影响范围较大，建议尽快做好自查及防护。此漏洞允许未经身份验证的远程攻击者执行任意代码，可能导致数据泄露、服务中断或系统被完全控制。

0x03 影响范围

Nacos <= 2.4.0-BETA

0x04 复现环境

FOFA：app="NACOS"

0x05 漏洞复现

利用条件：

需要运气好撞出tmp，利用时间长

removal接口没有鉴权

derby没有鉴权，存在20年的sql注入

利用工具：

https://github.com/Conan924/NacosExploit

ht