关于安全:安全通告-Apache-SkyWalking-SQL注入漏洞安全风险公告CVE202013921

39次阅读

共计 797 个字符,预计需要花费 2 分钟才能阅读完成。

近日,腾讯蓝军(force.tencent.com)发现并向 Apache SkyWalking 官网团队提交 SQL 注入破绽(破绽编号:CVE-2020-13921),目前官网已公布新版本修复该破绽。

为防止您的业务受影响,腾讯云平安建议您及时发展平安自查,如在受影响范畴,请您及时进行更新修复,防止被内部攻击者入侵。

破绽详情

Apache SkyWalking 是一款利用性能监控(APM)工具,对微服务、云原生和容器化利用提供自动化、高性能的监控计划。其官方网站显示,大量的国内互联网、银行、民航等畛域的公司在应用此工具。

在 SkyWalking 多个版本中,默认凋谢的未受权 GraphQL 接口,通过该接口,攻击者能够结构歹意的申请包进行 SQL 注入,从而导致用户数据库敏感信息泄露。鉴于该破绽影响较大,倡议企业尽快修复。

危险等级

高风险

破绽危险

通过 SQL 注入,攻击者能够在服务器上窃取敏感信息

影响版本

Apache SkyWalking 6.0.0~6.6.0

Apache SkyWalking 7.0.0

Apache SkyWalking 8.0.0~8.0.1

修复版本

Apache SkyWalking 8.1.0

修复倡议

官网已公布新版本修复该破绽,腾讯云平安建议您:

1. 举荐计划:降级到 Apache SkyWalking 8.1.0 或更新版本。

2. 如临时无奈降级,作为缓解措施,倡议不要将 Apache SkyWalking 的 GraphQL 接口裸露在外网,或在 GraphQL 接口之上减少一层认证。

3. 举荐企业用户采取腾讯平安产品检测并拦挡 Apache SkyWalking SQL 注入破绽的攻打。

腾讯平安解决方案

腾讯云 T -Sec Web 利用防火墙已反对拦挡进攻 SkyWalking SQL 注入破绽攻打。

官网更新通告和降级链接:https://github.com/apache/skywalking/releases/tag/v8.1.0

正文完
 0