ב-Nacos שלפני גרסה 1.4.1, הרכיב שאמור לאכוף הזדהות כולל פתח שמאפשר לדלג עליו, והדרך שבה הוא מחליט למי מותר לדלג היא כותרת שכל שולח בקשה כותב בעצמו. הציון הוא 8.6 מתוך 10, לא ידוע על ניצול, והגרסה שסוגרת את החולשה היא 1.4.1.

מה החולשה?

Nacos היא פלטפורמה לגילוי שירותים, לניהול הגדרות ולניהול שירותים בסביבות מבוזרות. כשמפעילים בה את האימות, באמצעות הדגל nacos.core.auth.enabled, כל הבקשות שמגיעות לשרת עוברות דרך רכיב שבודק אם הן מזוהות.

בתוך הרכיב הזה קיימת חריגה מכוונת: בקשה שמגיעה משרת Nacos אחר באותו אשכול אינה נדרשת לעבור את הבדיקה, מפני שמדובר בתעבורה פנימית בין שרתים שכבר סומכים זה על זה. השאלה היחידה שנשארת היא איך הרכיב מזהה שרת אחר, והתשובה היא כותרת ה-user-agent, אותו שדה שבו כל דפדפן וכל כלי מצהיר על עצמו בכל בקשה.

שדה כזה הוא הצהרה ולא הוכחה. מי ששולח את הבקשה כותב בו מה שהוא רוצה, ואין בו שום דבר שמאמת את מה שנכתב. תוקף שמצהיר על עצמו כשרת Nacos מקבל את אותה חריגה, והבדיקה מדלגת עליו. למצב הזה קוראים עקיפת אימות בהתחזות, וברשומה הוא מסומן CWE-290.

כאן שווה לשים לב לפער בין שני חלקים של אותה רשומה. התיאור כותב שהחולשה עשויה לאפשר לכל משתמש לבצע פעולות ניהול על השרת, בעוד הווקטור מסמן פגיעה גבוהה בסודיות אבל לא מסמן פגיעה בשלמות הנתונים ולא בזמינות. הווקטור כן מסמן שההשפעה חורגת מגבולות הרכיב עצמו. הפער הזה נשאר בתוך הרשומה כמו שהוא, וכדאי להכיר אותו לפני שמתרגמים את 8.6 להערכת נזק.

מי מושפע?

כל גרסת Nacos שלפני 1.4.1, לפי הרשומה. התיאור מוסיף פרט שמצמצם: מדובר במצב שבו האימות הופעל, כלומר דווקא בהתקנות שמישהו טרח להגן עליהן.

זו לא תוכנה שנמצאת על מחשב או על טלפון של אדם פרטי. Nacos רצה בצד השרת, ומי שנוגע בה הם צוותי פיתוח ותשתית שבונים מערכות מרובות שירותים. הקהל שצריך לעשות כאן משהו הוא מי שמפעיל שרת Nacos, ובמיוחד מי שהשרת שלו נגיש מעבר לרשת שבה השירותים עצמם רצים.

האם מנוצלת בפועל?

לא ידוע על ניצול, והחולשה אינה רשומה בקטלוג ה-KEV שמנהלת סוכנות הסייבר האמריקאית CISA, שאליו נכנסות חולשות שתוקפים כבר נראו משתמשים בהן.

עם זאת, הרשומה עצמה עודכנה שוב ביוני 2026, יותר מחמש שנים אחרי שפורסמה. בגרסאות תשתית, הפער בין מועד התיקון לבין המועד שבו הוא מותקן בפועל הוא לרוב הסיפור האמיתי.

מה עושים?

1. בררו באיזו גרסת Nacos אתם מריצים. כל מה שמתחת ל-1.4.1 נכלל.

2. שדרגו ל-1.4.1 ומעלה. זו הגרסה שבה החריגה הזאת נסגרה, והשינוי עצמו נמצא בבקשת המשיכה שסוגרת את החולשה, לצד הדיון שפתח אותה.

3. אל תסתמכו על הפעלת האימות כפתרון זמני. החולשה יושבת דווקא ברכיב שאוכף את האימות, ולכן הפעלת הדגל nacos.core.auth.enabled אינה מה שמגן כאן.

4. עד שתשדרגו, בדקו מי יכול לשלוח בקשה אל השרת. שרת Nacos שנגיש רק מהרשת הפנימית שבה השירותים שלו רצים, ולא מהאינטרנט, מצמצם את מספר מי שיכול בכלל להצהיר על עצמו כשרת עמית.