CVE-2021-29441
Nacos es una plataforma diseñada para el descubrimiento dinámico de servicios y la configuración y la gestión de servicios. En Nacos antes de la versión 1.4.1, cuando está configurado para usar autenticación (-Dnacos.core.auth.enabled=true) Nacos utiliza el filtro servlet AuthFilter para aplicar la autenticación. Este filtro tiene una backdoor que permite a los servidores Nacos omitir este filtro y, por tanto, omitir las comprobaciones de autenticación. Este mecanismo se basa en la cabecera HTTP user-agent, por lo que puede falsificarse fácilmente. Este problema puede permitir a cualquier usuario llevar a cabo cualquier tarea administrativa en el servidor Nacos.
Preaviso: explotación observada
- Explotación observada desde el 1 dic 2023
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 947 días después de la divulgación
- Confirmada por sensores, no solo por informes
- Utilizada en campañas de ransomware
Fuente: VulnCheck KEV · 3 oct 2026 2 oct 2026 1 oct 2026 30 sept 2026 29 sept 2026 28 sept 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| alibaba | nacos | < 1.4.1 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.