| 漏洞概述 | |||
| 漏洞名称 | Nacos 集群Raft反序列化漏洞 | ||
| 漏洞编号 | QVD-2023-13065 | ||
| 公开时间 | 2023-05-25 | 影响数量级 | 万级 |
| 漏洞等级 | 高危 | 漏洞评分 | 8.1 |
| 威胁类型 | 代码执行 | 利用可能性 | 中 |
| POC状态 | 未发现 | 在野利用状态 | 未发现 |
| EXP状态 | 未发现 | 技术细节状态 | 未发现 |
| 危害描述：在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。 | |||
01 漏洞详情
影响组件
Nacos是一个易于使用的平台，专为动态服务发现和配置以及服务管理而设计。可以帮助您轻松构建云原生应用程序和微服务平台。
漏洞描述
近日，奇安信CERT监测到 Nacos 集群Raft反序列化漏洞(QVD-2023-13065)，在Nacos集群处理部分Jraft请求时，攻击者可以无限制使用hessian进行反序列化利用，最终实现代码执行。鉴于该漏洞仅影响集群间通信端口 7848（默认配置下），若部署时已进行限制或未暴露则风险可控，建议客户做好自查及防护。
02 影响范围
影响版本
1.4.0<=nacos<1.4.6< p=””>
2.0.0<=Nacos<2.2.3
其他受影响组件
无
03 处置建议
安全更新
目前官方已发布安全修复更新，受影响用户可以升级到Nacos 1.4.6、Nacos 2.2.3
https://github.com/alibaba/nacos/releases/tag/1.4.6
https://github.com/alibaba/nacos/releases/tag/2.2.3
缓解措施
由于该漏洞仅影响7848端口（默认设置下），客户可通过禁止该端口的请求来缓解此漏洞。
04 参考资料
[1]https://github.com/alibaba/nacos/releases/tag/1.4.6
[2]https://github.com/alibaba/nacos/releases/tag/2.2.3
来源：奇安信 CERT