大工网安告[2026030]

一、 情况分析

Nacos是阿里巴巴开源的动态服务发现、配置管理和服务管理平台，是微服务架构体系中的核心基础设施组件之一，通常在企业内网部署，承担服务注册中心和配置中心双重角色。

近日，监测到官方修复Nacos权限绕过漏洞(QVD-2026-59388)，该漏洞源于Nacos3.0.0至3.2.3版本的UserControllerV3.createUser()方法的@Secured注解缺少apiType参数，导致鉴权作用域错配。攻击者可利用该漏洞在未授权状态下创建管理员账户，进而完全接管服务端，窃取所有配置信息。

威胁类型：权限绕过。

技术类型：鉴权作用域错配。

危害描述：攻击者可在未授权状态下创建管理员账户，完全接管Nacos服务端，窃取所有微服务配置信息（包含数据库连接字符串、API密钥等敏感凭证），修改配置导致业务中断，创建后门账户实现持久化，利用获取的凭证横向移动攻击企业内网其他系统。

二、 影响版本

3.0.0<=Nacos<=3.2.3

三、 处置建议

修复解决方案（含漏洞补丁）：

官方已发布安全补丁，请及时更新至最新版本： Nacos>=3.2.4

缓解措施：

1.如无法立即升级，必须开启所有鉴权开关：开启鉴权后，所有SDK客户端必须配置用户名密码，需要评估对业务的影响；

2.网络隔离：仅允许可信IP段访问；Nacos属内网设施，任何公网暴露都应立即回撤。