CVE-2021-29441
Açıklama
Nacos; dinamik servis keşfi, yapılandırması ve servis yönetimi için tasarlanmış bir platformdur. 1.4.1 versiyonundan önceki Nacos sürümlerinde, kimlik doğrulamayı kullanacak şekilde yapılandırıldığında (-Dnacos.core.auth.enabled=true), Nacos kimlik doğrulamayı zorunlu kılmak için AuthFilter servlet filtresini kullanır. Bu filtrede, Nacos sunucularının bu filtreyi baypas etmesini ve dolayısıyla kimlik doğrulama kontrollerini atlamasını sağlayan bir arka kapı (backdoor) bulunmaktadır. Bu mekanizma user-agent HTTP başlığına dayandığı için kolayca taklit edilebilir. Bu sorun, herhangi bir kullanıcının Nacos sunucusu üzerinde tüm yönetimsel görevleri gerçekleştirmesine izin verebilir.
Nasıl düzeltilir
- alibaba nacos1.4.1 ya da sonraki bir sürüm
- com.alibaba.nacos:nacos-common1.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| alibaba nacos | v < 1.4.1 | 1.4.1 |
| com.alibaba.nacos:nacos-commonMaven | v < 1.4.1 | 1.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.