nacos身份认证绕过漏洞

2023年爆出的证绕Nacos认证绕过漏洞（CVE-2023-22947）比很多人想的更致命。它不需要复杂操作，过漏直接访问某个特定接口就能拿到管理员权限。证绕我见过不少公司把Nacos当内部工具用，过漏觉得“内网嘛，证绕没事”，过漏结果被扫到后门被捅穿——这类案例在攻防演练里一抓一大把。证绕

问题出在Nacos的过漏User-Agent处理逻辑上。官方在实现鉴权时，证绕对请求头里的过漏User-Agent字段做了个“特殊照顾”：如果UA里带上了`Nacos-Server`字样，服务端就默认这是证绕来自可信集群的请求，直接跳过身份校验。过漏攻击者只要在请求里加一行`User-Agent: Nacos-Server`，证绕就能像管理员一样调用所有API。过漏改用户密码、证绕拉取配置、读取密钥，全在弹指间。

这个漏洞最恶心的地方在于，它连密码爆破都省了。传统攻击至少要试弱口令或者找泄露的凭据，这个直接绕过了整个认证层。我实测过，用curl发一个带特殊UA的POST请求到`/nacos/v1/auth/users`，就能创建一个新管理员账号。整个过程不到三秒，日志里连异常都看不出来——因为请求本身完全合法。

补丁倒是出来得挺快，官方在1.4.3和2.2.1版本里修了这个问题。但现实很骨感，很多生产环境还跑着老版本。我见过一家金融科技公司，服务器上还挂着0.9.0的远古版本，问运维为什么没升级，答曰“跑得好好的不敢动”。结果被红队用这个漏洞直接拿到配置中心权限，数据库连接串全被拖走。这玩意儿就像你家门锁的备用钥匙——厂家说换锁芯，但大多数人觉得“反正没人知道这把钥匙存在”。

更麻烦的是，Nacos的集群模式也会受影响。如果节点间通信没做额外加固，攻击者伪造UA后还能冒充其他节点同步数据。这就意味着，即便你只把Nacos暴露给内网，只要内网里有一台机器被攻破，横向移动时就能拿它当跳板。安全圈常说“内网渗透靠的是信任链”，这种隐性信任恰恰是漏洞滋生的温床。

修复建议其实不复杂：升级到最新版，或者至少在Nacos前面加个网关，过滤掉带`Nacos-Server`头的外部请求。但我觉得最核心的问题是——很多团队压根没把配置中心当安全资产。他们给数据库上了防火墙，给Redis加了密码，却让Nacos裸奔在运维网段。要知道，配置中心里存着所有服务的命根子，它比单个应用服务器重要得多。

话说回来，这类漏洞的爆发频率越来越高，不是厂商不努力，而是分布式组件天生信任内网。Nacos这种工具设计初衷是方便开发，安全属性天然薄弱。所以别指望一个补丁能解决所有问题，把配置中心当成核心资产来防护，才是正经事。至少，别让它带着默认密钥暴露在任何可达的网络上——这个教训，是用无数企业的血泪换来的。