CVE-2021-29441
Nacos est une plateforme conçue pour la découverte dynamique de services ainsi que pour la configuration et la gestion des services. Dans Nacos avant la version 1.4.1, lorsqu'il est configuré pour utiliser l'authentification (-Dnacos.core.auth.enabled=true), Nacos utilise le filtre servlet AuthFilter pour imposer l'authentification. Ce filtre contient une backdoor qui permet aux serveurs Nacos de contourner ce filtre et donc d'ignorer les contrôles d'authentification. Ce mécanisme repose sur l'en-tête HTTP user-agent et peut donc être facilement usurpé. Ce problème peut permettre à tout utilisateur d'effectuer toute tâche administrative sur le serveur Nacos.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 1 déc. 2023
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 947 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
- Utilisée dans des campagnes de rançongiciel
Source : VulnCheck KEV · 3 oct. 2026 2 oct. 2026 1 oct. 2026 30 sept. 2026 29 sept. 2026 28 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| alibaba | nacos | < 1.4.1 |
Articles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.