关于哪吒监控旧版本安全缺陷的风险提示与自查建议

鉴于哪吒在TG上的公告传播效果有限，转载官方公告内容于此提醒各位版友

公告原链接 发布于5月31日

https://t.me/nezhanews/395

更新方式：运行nezha安装脚本 nezha.sh 选择更新与重启即可

关于哪吒监控旧版本安全缺陷的风险提示与自查建议

正如此前公告中提到，哪吒监控旧版本存在多个安全缺陷。为降低潜在安全风险，我们强烈建议所有用户立即更新到最新版本，并根据自身部署情况开展必要的安全自查。

相关漏洞由安全研究人员报告。部分问题在修复版本发布后陆续公开披露。基于负责任披露原则，同时考虑到当时未发现相关问题被大规模利用的明确证据，我们未在修复完成前公开漏洞细节。现修复版本、更新提醒和相关安全公告均已发布，出于透明、负责的态度，我们对相关缺陷的影响范围和处置建议进行说明。

相关披露信息可参考项目 GitHub Security Advisories 页面。感谢安全研究人员和社区用户对项目安全性的报告与反馈。

一、主要影响范围

根据已公开的安全公告，旧版本中的相关缺陷主要涉及以下几类风险：

1. 未登录场景下的敏感配置文件读取风险；


2. 多用户场景下的权限隔离和资源归属校验不足；


3. 计划任务、告警规则、终端、文件管理等功能的权限边界不足；


4. 通知、Webhook、DDNS、NAT 等网络请求或转发类功能的校验不足；


5. 实时监控数据、服务监控数据等信息展示接口的权限过滤不完整。

上述问题在不同版本、不同配置和不同部署场景下影响程度不同，并不意味着所有实例都受到同等影响，也不代表相关问题已经被大规模利用。但由于其中部分问题可能导致敏感配置泄露、会话伪造、跨用户访问、内部服务探测，甚至被监控节点执行非预期命令，因此建议所有仍在使用旧版本的用户尽快升级，并结合自身情况开展自查。

二、未登录场景下的敏感配置泄露风险

部分旧版本在处理 Dashboard 前端资源路径时存在路径判断不严谨的问题。在特定构造的请求下，攻击者可能在未登录的情况下读取 Dashboard 工作目录中的敏感文件。

在默认部署场景中，相关敏感文件可能包含配置文件、数据库文件或其他运行数据。其中，配置文件中可能包含 Agent 连接密钥、OAuth2 应用密钥、通知服务 Token、Webhook Token 等敏感信息。

该类问题不要求攻击者拥有普通用户账号。因此，只要 Dashboard 曾以受影响版本暴露在公网，均建议按照较高风险场景处理。

建议相关用户重点检查并处理以下事项：

1. 立即升级 Dashboard 至最新版本；


2. 重新生成或更换 JWT 会话签名密钥、Agent 连接密钥；


3. 修改管理员密码，并检查是否存在陌生管理员或异常用户；


4. 轮换配置文件中保存的 OAuth2 Secret等外部凭据；


5. 检查是否存在异常 Agent 未授权访问、异常数据库访问、异常静态资源请求、路径穿越请求，或针对配置文件、数据库文件的访问尝试。

三、多用户及功能权限隔离风险

除未登录访问问题外，旧版本还存在多项与多用户权限隔离相关的缺陷。这类问题主要影响启用了多用户、多租户、客户分组管理，或向普通用户开放部分 Dashboard 功能的部署场景。

若您的实例中存在普通用户、客户账号、临时账号，或将同一 Dashboard 用于管理不同用户、客户、业务分组的服务器，请立即更新至最新版本，并优先开展自查。

在受影响版本中，部分接口存在权限校验、资源归属校验或实时会话归属校验不足的问题。在特定条件下，低权限用户可能获取其权限范围外的服务器监控信息；通过通知、Webhook、DDNS 等功能从 Dashboard 所在服务器发起请求，带来内部服务探测或访问风险；也可能创建、触发或关联其无权管理的任务，造成非预期命令执行风险。

建议使用过多用户功能的实例重点检查：

1. 是否存在不明普通用户、临时账号或历史遗留账号；


2. 是否存在普通用户创建的异常计划任务、告警规则或通知配置；


3. 是否存在目标范围异常的任务、空服务器范围任务、全局任务或异常任务绑定；


4. 是否存在异常 WebSocket 连接、异常终端操作、异常文件访问或未知来源的会话记录；


5. 是否存在异常通知渠道、Webhook、DDNS Profile、NAT Profile；


6. 是否存在指向内网地址、本机地址、Dashboard 自身域名、管理域名、云厂商元数据地址或未知域名的配置；


7. 是否有普通用户访问了不属于其权限范围的服务器状态、服务详情、服务历史或隐藏服务数据。

如发现异常，应及时停用相关账号，删除异常任务或配置，保留日志，并进一步排查 Dashboard 主机和相关被监控服务器。

最后，再次建议所有仍在使用旧版本的用户尽快升级到最新版本。对于曾经暴露在公网、启用多用户或保存敏感 Token 的实例，升级后仍应结合日志、配置、数据库和被监控节点状态进行自查。若无法确认旧版本期间是否存在异常访问，建议轮换密钥、重置凭据，并根据实际情况重新接入 Agent 或重建 Dashboard 实例。