nacos未授权访问漏洞解决

上周巡检生产环境，授权发现Nacos控制台裸奔在公网，访问连密码框都没弹出来——直接输个任意用户名就进去了。漏洞配置中心里躺着三十多个微服务的解决数据库密码和Redis连接串。这不是授权个案，很多团队把Nacos当内网工具用，访问却忘了它默认监听0.0.0.0。漏洞

先看漏洞本质。解决Nacos从1.4.0版本开始默认开启鉴权，授权但大量存量实例还是访问老版本，或者运维图省事把nacos.core.auth.enabled设成了false。漏洞更隐蔽的解决是，即便开了鉴权，授权部分版本存在身份绕过——通过构造特定User-Agent或请求头就能伪装成服务端。访问我用BurpSuite试了下，漏洞改个UA为Nacos-Server，直接绕过了登录页。

解决要分三步走，别急着打补丁。

第一步，止血。 立刻用防火墙规则限制Nacos端口（默认8848）的访问来源，只允许配置中心所在VPC的网段通过。如果业务方确实需要跨网络访问，用VPN或跳板机，别直接暴露在办公网。这一步五分钟能搞定，但能挡住90%的扫描器攻击。

第二步，升级+强制鉴权。 到官方GitHub把Nacos升到2.2.3以上版本，这个版本修复了CVE-2021-29441等已知绕过漏洞。改配置文件application.properties：

nacos.core.auth.enabled=true nacos.core.auth.plugin.nacos.token.secret.key=自定义超长随机字符串 

注意那个secret.key，别用默认值。之前见过有团队开了鉴权但key还是官网文档里的例子，攻击者直接拿默认key伪造token。

第三步，加一层认证代理。 这是我自己踩坑后的建议。哪怕Nacos自带鉴权，也建议在前面挂个Nginx做Basic Auth或OAuth2校验。原因很简单——Nacos的鉴权模块历史漏洞太多，而Nginx的认证机制久经考验。配置也不复杂：

location / {  auth_basic "Nacos Admin"; auth_basic_user_file /etc/nginx/.htpasswd; proxy_pass http://127.0.0.1:8848; } 

这样即使Nacos自身再出绕过漏洞，外层还有一道密码锁。

有个细节容易漏——Nacos的客户端也需要更新。服务端修好了，但老版本客户端可能还在用不安全的协议通信。检查所有服务里的nacos-client依赖，统一升到对应版本。别问我怎么知道的，上次升级完服务端，两个老服务直接连不上，日志里全是403，排查半天才发现是客户端版本太旧不支持新鉴权头。

最后说个观察。很多团队把安全配置写进Docker镜像或K8s的ConfigMap里，方便是方便，但密钥也跟着镜像分发。建议用环境变量注入，或者挂载Secret文件，别把明文key写死在YAML里。我见过某公司的Nacos密钥直接出现在GitLab的CI变量里，等于把保险柜钥匙贴在门框上。

处理完这波，顺手把Nacos的监控加上——登录失败次数、异常请求路径、配置变更日志都告警出来。安全是个持续过程，不是修完一个漏洞就万事大吉。下次再有人问Nacos安不安全，先让他跑一遍curl -X GET http://ip:8848/nacos/v1/auth/users，能返回JSON列表的，都欠一顿安全培训。