Nacos即Dynamic Naming and Configuration Service（动态命名与配置服务），是开源的一款服务发现、配置和管理微服务的中间件。

在Nacos中新发现的0day漏洞可以触发远程代码执行，开源网安RASP团队检测并分析出三种类型的攻击：不安全的反射漏洞、SQL注入攻击、命令注入。

影响版本

Nacos2.3.2、2.4.0版本

前期准备

操作系统：Windows，版本号：10

使用的防护工具：RASP，版本号：3.1.0

检测对象：Nacos，版本号：2.3.2

漏洞复现

未安装RASP，运行应用：

Nacos服务成功启动

启动攻击服务：

发送攻击请求：

上图可以看出，通过客户端，恶意命令“calc”被顺利执行。

解决方案

安装RASP

重启应用：

再次请求

响应被拦截。RASP平台针对该请求共检测出3条攻击行为，分别为：不安全的反射、SQL注入、命令注入。如下图所示：

不安全的反射：

SQL注入：

命令注入：

针对Nacos中新发现的0day漏洞可能触发的远程代码执行问题，开源网安RASP团队迅速响应，利用先进的运行时应用自我保护（RASP）技术，进行了深入分析，开源网安RASP解决方案不仅可以实时检测并阻断外部恶意攻击，更能在不影响业务系统运行的前提下，对潜在漏洞利用行为进行预警和记录，确保业务系统的稳定性和安全性，为企业数据资产提供坚实的保护屏障。

参考资料

https://mp.weixin.qq.com/s/p7yjVP8AVERXD9uvZKEF_w

推荐阅读

漏洞预警：某知名品牌智能手环发现低功耗蓝牙漏洞，无法连接用户设备

0Day漏洞防御篇：GeoServer CVE-2024-36401远程代码执行漏洞

# 安全 # web安全 # 程序人生
GitHub 加速计划 / na / nacos
29.83 K
12.75 K
下载
Nacos是由阿里巴巴开源的服务治理中间件，集成了动态服务发现、配置管理和服务元数据管理功能，广泛应用于微服务架构中，简化服务治理过程。
最近提交(Master分支：2 个月前 )
4334cd16 * Support custom client configuration timeout.（#12748） * Add UT.（#12748） 6 天前
b04d2266 10 天前
Logo
GitCode 开源社区

旨在为数千万中国开发者提供一个无缝且高效的云端环境，以支持学习、使用和贡献开源项目。

更多推荐

[转载]在Windows环境下安装GNU Radio

转自：在Windows环境下安装GNURadio_恐弱智_新浪博客GNU Radio是用Python开发的，大部分开源的工程能够在Linux环境下运行良好，而Windows下却运行的很勉强，而且安装配置都很复杂。GNU Radio算是个例外了，不光提供了Windows的二进制安装，还有比较详细的说明。我是Python小白，所以折腾了好久才弄好，特意记录下来，免得以后再装还折腾。GNU Radio的

avatar GitCode 开源社区

centOS 8 使用dnf安装Docker

DNF是什么？CentOS 8使用YUM软件包管理器版本v4.0.4。现在，该版本使用DNF(已删除YUM)。DNF是软件包管理器。它会在Linux发行版上安装，执行更新并删除软件包。使用DNF安装Docker跳过具有损坏依赖性的程序包一个有效的解决方案是使您的CentOS 8系统使用以下--nobest命令安装最符合条件的版本：sudo dnf install docker...

avatar GitCode 开源社区

定时同步数据库表(mysql+linux+crontab)

sync.sh里面的参数需要改变，ip/username/password/database/tablesync.sh#!/bin/sh# Please change the IP and password of the data source db.# Then change the table name.filename=/home/nington/db/$(date +%Y-%m

avatar GitCode 开源社区