Nacos是广泛使用的开源动态服务发现、配置管理和服务管理平台，被大量企业级应用部署使用。近日，Nacos被披露存在鉴权作用域错配漏洞（0day）。目前该漏洞PoC与EXP均已公开，利用门槛较低；虽然暂未监测到在野利用，但存在被大规模利用的风险，建议受影响用户尽快完成修复。

漏洞详情
近日，安全研究员披露了Nacos 3.x中存在的鉴权作用域错配漏洞（0day）。当目标Nacos开启Admin/Console鉴权且OpenAPI鉴权保持默认关闭状态时，后台管理类接口（用户管理、角色管理、权限管理）未正确校验访问身份，未授权攻击者可通过构造请求创建任意账户、绑定自定义角色并发放*:*全量读写权限，最终完全接管配置中心。

该漏洞的利用前置条件如下：
（1）攻击者能够通过网络访问目标Nacos服务（默认端口 8848）；

（2）目标Nacos版本处于 3.0.0（含）至 3.2.3（含）区间；

（3）目标Nacos开启Admin/Console鉴权，且OpenAPI鉴权保持默认关闭状态；

（4）目标Nacos未对/v3/auth/user、/v3/auth/role、/v3/auth/permission等后台管理接口实施额外访问控制。

影响范围
Nacos 3.0.0（含）至3.2.3（含）

漏洞复现
经复现测试确认，该漏洞可在受影响版本上达成未授权自建管理员账户并完全接管配置中心的效果。攻击者无需任何身份凭据，即可按以下流程稳定触发漏洞：

排查方法
建议用户参考以下方式排查自身环境是否受该漏洞影响：
（1）确认部署环境：目标Nacos版本是否处于 3.0.0（含）至 3.2.3（含）区间；

（2）检查Nacos版本：查看Nacos安装目录版本号或控制台“关于”页面，确认是否处于受影响范围；

（3）检查鉴权配置：确认Admin/Console鉴权与OpenAPI鉴权配置状态，尝试未授权访问 /nacos/v3/auth/user/list 接口，验证是否可读取用户列表。

修复建议
建议受影响用户尽快将Nacos升级至安全版本，正式防护方案如下：
升级至以下版本：
（1）Nacos 3.x 用户升级至 3.2.4 或更高版本；

（2）暂无法升级的用户：建议启用OpenAPI鉴权，通过访问控制（IP白名单、防火墙等）限制管理接口暴露面，并加强异常请求监测。
升级完成前，建议加强应用访问控制、监测异常请求，持续关注官方安全公告。

产品支持
云安服-安全监测平台：默认支持该产品的指纹识别，已更新漏洞检测规则，已支持该漏洞的在线检测。
昆仑漏洞扫描平台专业漏洞检测工具，已更新漏洞检测规则，已支持该漏洞的在线检测。
实战化攻防技能演训平台：模拟真实攻防仿真场景，提升蓝军、红军实战应对能力训练平台。
云瞳云WAF：为中小企业提供一键化接入和专业级防护，有效应对Web攻击、入侵、漏洞利用、挂马、篡改、后门、爬虫等Web业务安全防护问题。

参考链接
Nacos 官方发布说明（3.2.4 修复版本）：https://github.com/alibaba/nacos/releases/tag/3.2.4