Goby漏洞发布 | 0day NACOS /nacos/v1/cs/ops/data/removal RCE代码执行漏洞【已验证】

### Nacos `v1/cs/configs` 漏洞修复方案 针对Nacos `v1/cs/configs` 接口存在的安全漏洞，主要存在远程代码执行（RCE）风险。为了有效防止此类攻击并保障系统的安全性，建议采取以下措施： #### 升级至最新版本 官方已经发布了新版本来修复此漏洞，推荐立即下载并安装最新的稳定版Nacos服务器软件[^1]。 ```bash wget https://github.com/alibaba/nacos/releases/latest/download/nacos-server.zip unzip nacos-server.zip -d /opt/nacos/ ``` #### 关闭不必要的端口和服务 对外限制开放7848端口可以减少潜在的安全威胁。通过防火墙规则或云平台安全组设置阻止外部访问该端口。 对于Linux系统，可以通过iptables实现： ```bash sudo iptables -A INPUT -p tcp --dport 7848 -j DROP ``` #### 修改默认账户凭证 避免使用默认用户名和密码组合（如`nacos/nacos`），应尽快更改所有管理员级别的登录凭据，并定期更新以增强安全性[^4]。 #### 使用反向代理加固API调用 如果环境中有多台依赖于相同认证信息的服务实例，则可以在前端部署一层NGINX作为反向代理，在这里处理特定路径下的参数补充逻辑，从而绕过直接修改各应用内部配置的需求[^3]。 以下是调整后的NGINX配置片段示例： ```nginx server { listen 8081; server_name localhost; location / { set $end_str "%23sm"; if ($request_uri ~* "^/nacos/v1/cs/configs/listener\?username=nacos&password=[^&]*") { rewrite ^(.*)$ $1?$args$end_str break; } proxy_pass http://nacos-cluster; } } ``` 以上方法能够有效地缓解因接口设计缺陷带来的安全隐患问题，同时也提醒用户时刻关注官方公告和技术社区动态，及时响应可能影响业务连续性的各类事件。