KnowSafe 安全预警：Node-RED 未授权访问导致 RCE

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-02021-0275 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Node-RED 是一个基于 node.js 的可视化物联网控制流工具。

Node-RED 存在未授权访问导致 RCE，由于 Node-RED 应用程序未强制执行任何类型的身份验证，因此可以未授权公开访问，攻击者通过组合特定的Flows以在目标系统上执行任意命令。

影响范围

应用：Node-Red Node-Red

解决方案

建议用户参考 Node-RED 官方文档中关于安全保护的相关条目妥善进行安全配置，防止被未授权用户登录服务器造成损失。

例如要在编辑器和管理 API 上启用用户身份验证，可以取消注释设置文件中的adminAuth 属性，参考链接：https://nodered.org/docs/user-guide/runtime/securing-node-red。

参考信息

https://nodered.org/docs/user-guide/runtime/securing-node-red

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。