近日，奇安信CERT監(jiān)測(cè)到?Nacos 集群Raft反序列化漏洞(QVD-2023-13065)，在Nacos集群處理部分Jraft請(qǐng)求時(shí)，攻擊者可以無(wú)限制使用hessian進(jìn)行反序列化利用，最終實(shí)現(xiàn)代碼執(zhí)行。鑒于該漏洞僅影響集群間通信端口 7848(默認(rèn)配置下)，若部署時(shí)已進(jìn)行限制或未暴露則風(fēng)險(xiǎn)可控，建議客戶做好自查及防護(hù)。

目前官方已發(fā)布安全修復(fù)更新，受影響用戶可以升級(jí)到Nacos 1.4.6、Nacos 2.2.3。如果不能更新需要封禁7848端口來(lái)緩解該漏洞。

之前nacos2.0.3是通過(guò)docker鏡像安裝的，最新版本nacos2.2.3官網(wǎng)無(wú)提供鏡像包，故需自己制作鏡像包。

1)獲取nacos鏡像構(gòu)建的docker 鏡像包。

git clone https://github.com/nacos-group/nacos-docker.git?

2)修改Dockerfile配置文件

ARG NACOS_VERSION=2.2.3

#此處修改成nacos自己需要最新的版本號(hào)。

具體Dockerfile 內(nèi)容如下：

FROM centos:7.9.2009
LABEL maintainer="pader <huangmnlove@163.com>"

# set environment
ENV MODE="standalone" \
PREFER_HOST_MODE="ip"\
BASE_DIR="/home/nacos" \
CLASSPATH=".:/home/nacos/conf:$CLASSPATH" \
CLUSTER_CONF="/home/nacos/conf/cluster.conf" \
FUNCTION_MODE="all" \
JAVA_HOME="/usr/lib/jvm/java-1.8.0-openjdk" \
NACOS_USER="nacos" \
JAVA="/usr/lib/jvm/java-1.8.0-openjdk/bin/java" \
JVM_XMS="1g" \
JVM_XMX="1g" \
JVM_XMN="512m" \
JVM_MS="128m" \
JVM_MMS="320m" \
NACOS_DEBUG="n" \
TOMCAT_ACCESSLOG_ENABLED="false" \
TIME_ZONE="Asia/Shanghai"

ARG NACOS_VERSION=2.2.3
ARG HOT_FIX_FLAG=""

WORKDIR $BASE_DIR

RUN set -x \
&& yum update -y \
&& yum install -y java-1.8.0-openjdk java-1.8.0-openjdk-devel iputils nc vim libcurl \
&& yum clean all
RUN curl -SL https://github.com/alibaba/nacos/releases/download/${NACOS_VERSION}${HOT_FIX_FLAG}/nacos-server-${NACOS_VERSION}.tar.gz -o /home/nacos-server.tar.gz \
&& tar -zxvf /home/nacos-server.tar.gz -C /home \
&& rm -rf /home/nacos-server.tar.gz /home/nacos/bin/* /home/nacos/conf/*.properties /home/nacos/conf/*.example /home/nacos/conf/nacos-mysql.sql \
&& ln -snf /usr/share/zoneinfo/$TIME_ZONE /etc/localtime && echo $TIME_ZONE > /etc/timezone

ADD bin/docker-startup.sh bin/docker-startup.sh
ADD conf/application.properties conf/application.properties

# set startup log dir
RUN mkdir -p logs \
&& touch logs/start.out \
&& ln -sf /dev/stdout start.out \
&& ln -sf /dev/stderr start.out
RUN chmod +x bin/docker-startup.sh

EXPOSE 8848
ENTRYPOINT ["bin/docker-startup.sh"]

3)構(gòu)建鏡像：

docker build -t nacos/nacosbuild? ?.

4)nacos服務(wù)跑起來(lái)

docker run? -d? --name? nacosbuild? -p 8848:8848? -p 9848:9848? nacos/nacosbuild

?5)訪問(wèn)驗(yàn)證一下版本號(hào)：

?6)使用compose方式

[root@mysql2 nacos]# more docker-compose.yml
version: '3'
services:
nacos:
restart: always
image: nacos/nacos-server:2.2.3
container_name: nacos223
privileged: true
environment:
- JVM_XMS=512m
- JVM_XMX=512m
- JVM_XMN=256m
- PREFER_HOST_MODE=ip
- MODE=standalone
- NACOS_APPLICATION_PORT=8848
- NACOS_SERVERS=192.168.184.189
- SPRING_DATASOURCE_PLATFORM=mysql
- MYSQL_SERVICE_HOST=192.122.0.111
- MYSQL_SERVICE_PORT=8806
- MYSQL_SERVICE_USER=root
- MYSQL_SERVICE_PASSWORD=123456
- MYSQL_SERVICE_DB_NAME=nacos
- NACOS_SERVER_IP=192.168.184.189
-?MYSQL_SERVICE_DB_PARAM=allowPublicKeyRetrieval=true&rewriteBatchedStatements=true&characterEncoding=UTF8&serverTimezone=UTC&connectTimeout=10000&socketTimeout=3000
0&autoReconnect=true&useSSL=false
network_mode: host文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-478340.html