Nacos安全漏洞如何修复和升级

今天药忘吃喽~ 2023-01-08 03:22 388阅读 0赞

今晚最新发布的1.4.1热修复版本已经对于User-Agent绕过安全漏洞的问题及控制台不可用的问题进行了全面的修复。对于漏洞及相关问题我不在赘述，接下来我主要讲如何进行升级加固。

一  下载最新的安装包

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTI5MjE5MjE_size_16_color_FFFFFF_t_70][]

二 解压文件

解压文件到安装路径

tar -xvf /home/xxx/software/nacos-server-1.4.1.tar.gz -C /home/xxx/xxx/software/nacos

三 数据库升级

执行cong路径下面的schema.sql脚本进行数据库升级

四 修改application.properties配置文件

1 修改数据库配置(如果是集群模式请使用集群化的配置)

### Count of DB:
    db.num=1
    
    ### Connect URL of DB:
    db.url.0=jdbc:mysql://127.0.0.1:3306/nacos?characterEncoding=utf8&connectTimeout=1000&socketTimeout=3000&autoReconnect=true&useUnicode=true&useSSL=false&serverTimezone=UTC
    db.user.0=root
    db.password.0=12345678

2 进行安全加固

### 开启鉴权
    nacos.core.auth.enabled=true
    ### 关闭使用user-agent判断服务端请求并放行鉴权的功能
    nacos.core.auth.enable.userAgentAuthWhite=false
    ### 配置自定义身份识别的key（不可为空）和value（不可为空）
    nacos.core.auth.server.identity.key=xxx-identity-key
    nacos.core.auth.server.identity.value=xxx-identity-value

3 安全加固注意事项

\*\* 注意 \*\* 所有集群均需要配置相同的`server.identity`信息，否则可能导致服务端之间数据不一致或无法删除实例等问题。

考虑到旧版本用户需要升级，可以在升级期间，开启`nacos.core.auth.enable.userAgentAuthWhite=true`功能，待集群整体升级到1.4.1并稳定运行后，再关闭此功能。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTI5MjE5MjE_size_16_color_FFFFFF_t_70]: /images/20221119/ac313b549c424e549b9459e854d70ceb.png