nacos 出现严重安全漏洞，特殊 UA 可以绕过所有鉴权，有用了的小伙伴注意了……

[PureWhiteWu]

参考： https://github.com/alibaba/nacos/issues/4593

只要指定一个特殊的 UA 就可以绕过所有鉴权。

官方不推荐这种用法，所以没有文档，建议大家别这么用。

[GM]

@PureWhiteWu
用户不知道，但是想搞坏事的坏人知道，简直是完美的后门。

[Lax]

以前有个关于开源软件和闭源软件谁更安全的话题，一般认为在“代码功力一样的情况下，闭源软件比开源软件多个后门的可能性”。这下可好，开源软件也一样。到底是什么原因呢？

[YAR]

刚在生产环境搭完 nacos, 进来就看到这个......

[olaloong]

随便拿钟馗之眼搜了台机器就试验成功了...这个漏洞真的太强了，之前把 nacos 账户密码改掉，要啥有啥

[PureWhiteWu]

@YAR 哈哈哈哈哈哈，我不该发

[baobao1270]

虽然说开源项目有免责条款
不过要是捅到网安部门就够各大企业喝一壶了吧

[PureWhiteWu]

@baobao1270 不至于，网安才不会管这些事吧

[baobao1270]

@PureWhiteWu 不太清楚，但是之前不是什么护网吗，如果关键系统有漏洞还是会管的吧

[zifangsky]

好家伙，这两个漏洞一组合使用，黑客朋友第一时间就表示「阿里简直太贴心了」，顺便还给这个 feature 点个赞

[Visitor233]

好家伙，本来用的好好的，居然被人捅出来了，黑帽子直接退出群聊

[PureWhiteWu]

@Visitor233 都怪你们 23333

[KuroNekoFan]

回复有点开眼界了……

[scukmh]

都怪你们，用的好好地，捅出来干啥。（跑

[cs419]

后门留的理直气壮
实在让人呸服

[Cat73]

https://user-images.githubusercontent.com/9296576/104602646-97750f80-56b6-11eb-8ee8-7f030211f98b.png

配合知道创宇端口扫描效果极佳，果然无聊的人不止我一个，在我眼皮子底下这台服务器就中招了，多了个用户

知道创宇总共搜出来了 800 多台 Nacos 服务器，提前默哀

[zhleonix]

能这样设计的都不是正常人

[x66]

好家伙，这个 issue 已经提出来半个月了，回复有点让我大吃一惊，建议以后阿里面试少问点什么原理，多问点安全相关的常识。
一句不应该把服务暴露到公网就完事了，那我想问下 nacos 为啥默认需要登陆呢？

[Jooooooooo]

一个后门是 feature

笑掉大牙

[hyqCrystal]

本来就不是给用户用的而是自己内部使用的机制，在使用文档上说明不妥。用户不知道才是正确的。

[waising]

楼上的回复看了一遍，不知道是真的没有用，还是真的不好用，那么大家都在用什么做注册中心和配置中心的