近日，騰訊藍(lán)軍（force.tencent.com）發(fā)現(xiàn)并向Apache SkyWalking官方團(tuán)隊(duì)提交SQL注入漏洞（漏洞編號(hào)：CVE-2020-13921），目前官方已發(fā)布新版本修復(fù)該漏洞。
為避免您的業(yè)務(wù)受影響，騰訊云安全建議您及時(shí)開(kāi)展安全自查，如在受影響范圍，請(qǐng)您及時(shí)進(jìn)行更新修復(fù)，避免被外部攻擊者入侵。
漏洞詳情
Apache SkyWalking 是一款應(yīng)用性能監(jiān)控（APM）工具，對(duì)微服務(wù)、云原生和容器化應(yīng)用提供自動(dòng)化、高性能的監(jiān)控方案。其官方網(wǎng)站顯示，大量的國(guó)內(nèi)互聯(lián)網(wǎng)、銀行、民航等領(lǐng)域的公司在使用此工具。
在SkyWalking多個(gè)版本中，默認(rèn)開(kāi)放的未授權(quán)GraphQL接口，通過(guò)該接口，攻擊者可以構(gòu)造惡意的請(qǐng)求包進(jìn)行SQL注入，從而導(dǎo)致用戶數(shù)據(jù)庫(kù)敏感信息泄露。鑒于該漏洞影響較大，建議企業(yè)盡快修復(fù)。
風(fēng)險(xiǎn)等級(jí)
高風(fēng)險(xiǎn)
漏洞風(fēng)險(xiǎn)
通過(guò)SQL注入，攻擊者可以在服務(wù)器上竊取敏感信息
影響版本
Apache SkyWalking 6.0.0~6.6.0
Apache SkyWalking 7.0.0
Apache SkyWalking 8.0.0~8.0.1
修復(fù)版本
Apache SkyWalking 8.1.0
修復(fù)建議
官方已發(fā)布新版本修復(fù)該漏洞，騰訊云安全建議您：
推薦方案：升級(jí)到Apache SkyWalking 8.1.0或更新版本。
如暫時(shí)無(wú)法升級(jí)，作為緩解措施，建議不要將Apache SkyWalking的GraphQL接口暴露在外網(wǎng)，或在GraphQL接口之上增加一層認(rèn)證。
推薦企業(yè)用戶采取騰訊安全產(chǎn)品檢測(cè)并攔截Apache SkyWalking SQL注入漏洞的攻擊。
騰訊安全解決方案
騰訊云T-Sec Web應(yīng)用防火墻已支持?jǐn)r截防御SkyWalking SQL注入漏洞攻擊。
點(diǎn)擊「閱讀原文」，訪問(wèn)官方更新通告和升級(jí)鏈接：
https://github.com/apache/skywalking/releases/tag/v8.1.0
申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
