[2021]Zookeeper getAcl命令未授权访问漏洞概述与解决

今天在漏洞扫描的时候蹦出来一个zookeeper的漏洞问题，即使是非zookeeper的节点，或者是非集群内部节点，也可以通过nc扫描2181端口，获取极多的zk信息。关于漏洞的详细描述参考apache zookeeper官方概述：CVE-2018-8012: Apache ZooKeeper Quorum Peer mutual authentication

---

漏洞演示：

这是一个CDP集群，里面有三个物理节点，每个节点各自有一个zk实例，注意看IP。

另开一台非集群节点的连接，使用echo conf | nc 10.168.1.28 2181 命令：

可以看到非常多的配置和集群信息，除了conf，还有ruok、stat等命令：

如此多敏感信息暴露在互联网上肯定是很不安全的，解决方式主要有四种：修改默认端口（简单易实现）、配置zookeeper认证用户或修改权限、打补丁（不推荐ÿ