CVE-2021-29441

Nacos ist eine Plattform für dynamische Service-Discovery sowie Konfigurations- und Service-Management. In Nacos vor Version 1.4.1 verwendet Nacos bei Konfiguration zur Verwendung von Authentifizierung (-Dnacos.core.auth.enabled=true) den AuthFilter-Servlet-Filter zur Durchsetzung der Authentifizierung. Dieser Filter enthält eine Backdoor, die es Nacos-Servern ermöglicht, diesen Filter zu umgehen und somit Authentifizierungsprüfungen zu überspringen. Dieser Mechanismus beruht auf dem User-Agent-HTTP-Header und kann daher leicht gespooft werden. Dieses Problem kann es jedem Benutzer ermöglichen, beliebige administrative Aufgaben auf dem Nacos-Server auszuführen.