Avisos sobre servi?os
Vulnerabilidade de execu??o remota de código de desserializa??o no Jraft Hessian da Nacos
14 de Junho de 2023, GMT+08:00
I. Descri??o
Recentemente, a Nacos lan?ou uma vers?o atualizada para corrigir uma vulnerabilidade de execu??o remota de código de desserializa??o. Ao processar solicita??es baseadas em Jraft, o cluster da Nacos usa hessian para desserializa??o, mas n?o restringe a classe de desserializa??o, o que pode permitir a execu??o remota de código. Atualmente, os detalhes dessa vulnerabilidade foram divulgados, e o seu risco é considerado alto.
Nacos é uma plataforma de descoberta, configura??o e gerenciamento de servi?os distribuídos de código aberto. Se você for um usuário da Nacos, verifique seu sistema e implemente medidas para a mitiga??o de riscos à seguran?a prontamente.
II. Gravidade
Gravidade: importante
(Gravidade: baixa, moderada, importante e crítica)
III. Produtos afetados
Vers?es afetadas:
1.4.0 <= Nacos < 1.4.6
2.0.0 <= Nacos < 2.2.3
Vers?es seguras:
Nacos 1.4.6
Nacos 2.2.3
IV. Tratamento da vulnerabilidade
Essa vulnerabilidade foi corrigida na vers?o oficial mais recente. Caso a sua vers?o em uso fa?a parte do escopo afetado, atualize-a para a segura.
https://github.com/alibaba/nacos/releases/tag/1.4.6
https://github.com/alibaba/nacos/releases/tag/2.2.3
Medidas para mitiga??o:
A vulnerabilidade afeta apenas a porta 7848 (por padr?o), que é normalmente usada como porta de comunica??o para o protocolo de inter-raft do cluster da Nacos e n?o gerencia solicita??es de clientes. Portanto, o risco pode ser controlado desativando as solicita??es externas dos clusters da Nacos em vers?es anteriores.
O HSS da Huawei Cloud (nova vers?o) pode detectar essa vulnerabilidade. Os usuários do HSS da Huawei Cloud podem acessar o console do HSS para detectar vulnerabilidades de host. Para obter detalhes, consulte Varredura de vulnerabilidades do HSS.
Observa??o: antes de corrigir vulnerabilidades, fa?a o backup dos seus arquivos e realize um teste completo.