Nacos derby 接口SQL注入导致RCE漏洞

北京赛克艾威科技有限公司 2024-07-19

漏洞编号：暂无
漏洞等级：高危
漏洞标签：发布预警、公开漏洞
发布时间：2024-07-19

漏洞描述

Nacos 是一个用于动态服务发现和配置以及服务管理的平台，Derby 是一个轻量级的嵌入式数据库。接口 /nacos/v1/cs/ops/derby 和 /nacos/v1/cs/ops/data/removal 在使用 Derby 数据库作为内置数据源时。用于运维人员进行数据运维和问题排查，在使用 standalone 模式启动 Nacos时，为了避免因搭建外置数据库而占用额外的资源，会使用 Derby 数据库作为数据源。受影响版本的 Nacos 默认未开启身份认证，/data/removal 接口存在条件竞争漏洞，攻击者可借此接口执行恶意SQL，加载恶意jar并注册函数，随后可以在未授权条件下利用 derby sql 注入漏洞（CVE\-2021\-29442）调用恶意函数来执行恶意代码。此前官方开发者认为属于功能特性，未做处理，后在2.4.0版本中通过增加 derbyOpsEnabled 选项默认关闭 derby 接口来避免被滥用。