Nacos derby 接口SQL注入导致RCE漏洞
漏洞描述
Nacos 是一个用于动态服务发现和配置以及服务管理的平台，Derby 是一个轻量级的嵌入式数据库。接口 /nacos/v1/cs/ops/derby 和 /nacos/v1/cs/ops/data/removal 在使用 Derby 数据库作为内置数据源时。用于运维人员进行数据运维和问题排查，在使用 standalone 模式启动 Nacos时，为了避免因搭建外置数据库而占用额外的资源，会使用 Derby 数据库作为数据源。
受影响版本的 Nacos 默认未开启身份认证，/data/removal 接口存在条件竞争漏洞，攻击者可借此接口执行恶意SQL，加载恶意jar并注册函数，随后可以在未授权条件下利用 derby sql 注入漏洞（CVE-2021-29442）调用恶意函数来执行恶意代码。
此前官方开发者认为属于功能特性，未做处理，后在2.4.0版本中通过增加 derbyOpsEnabled 选项默认关闭 derby 接口来避免被滥用。
| 漏洞名称 | Nacos derby 接口SQL注入导致RCE漏洞 |
|---|---|
| 漏洞类型 | SQL注入 |
| 发现时间 | 2024-07-19 |
| 漏洞影响广度 | - |
| MPS编号 | MPS-sxgr-j9ak |
| CVE编号 | - |
| CNVD编号 | - |
影响范围
nacos@(-∞, 2.4.0)
com.alibaba.nacos:nacos-config@(-∞, 2.4.0)
修复方案
将组件 nacos 升级至 2.4.0 及以上版本
将组件 com.alibaba.nacos:nacos-config 升级至 2.4.0 及以上版本
参考链接
https://www.oscs1024.com/hd/MPS-sxgr-j9ak
免费情报订阅&代码安全检测
OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。
免费代码安全检测工具： https://www.murphysec.com/?src=osc
免费情报订阅： https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
