Nacos UA 伪造认证绕过（CVE-2021-29441）

漏洞描述

Nacos 是用于动态服务发现、配置及服务管理的平台。在 1.4.1 之前版本的 Nacos 中，当开启认证功能（`‑Dnacos.core.auth.enabled=true`）时，Nacos 通过 AuthFilter 过滤器实现身份鉴权。该过滤器内置服务端间通信的绕过逻辑，该逻辑仅依据 HTTP 请求头`User‑Agent`进行判断，攻击者可轻易伪造该请求头绕过鉴权校验。未授权的远程攻击者利用该漏洞可执行 Nacos 服务上任意管理员操作。