Apache SkyWalking SQL注入漏洞安全风险通告,腾讯安全支持检测防御

2020-08-06 14:08:41
腾讯安全团队发现并向Apache SkyWalking官方团队提交SQL注入漏洞,攻击者可利用漏洞获取服务器的敏感信息,目前官方已发布新版本修复该漏洞。 在SkyWalking多个版本中,默认开放的未授权GraphQL接口,通过该接口,攻击者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。

【漏洞描述】

近日,腾讯安全团队发现并向Apache SkyWalking官方团队提交SQL注入漏洞,攻击者可利用漏洞获取服务器的敏感信息,目前官方已发布新版本修复该漏洞。 

腾讯安全专家建议相关单位及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。 

SkyWalking多个版本中,默认开放的未授权GraphQL接口,通过该接口,攻击者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。 

Apache SkyWalking 是一款应用性能监控(APM)工具,对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示,大量国内互联网、银行、民航等领域的公司在使用此工具。

 

【漏洞编号】CVE-2020-13921


【漏洞等级】严重

 

【受影响的版本】

Apache SkyWalking 6.0.0~6.6.0

Apache SkyWalking 7.0.0

Apache SkyWalking 8.0.0~8.0.1

 

【安全版本】

Apache SkyWalking 8.1.0

 

【腾讯安全网络空间测绘数据】

腾讯安全网络空间测绘数据显示,Apache SkyWalking在中国有十分广泛的应用,浙江、北京、上海位居前三。

【漏洞修复建议】

官方已发布新版本修复该漏洞,腾讯安全建议相关企业尽快修复。 

1.  推荐方案:升级到Apache SkyWalking 8.1.0或更新版本。下载链接:

http://skywalking.apache.org/downloads/

 

2.  如暂时无法升级,作为缓解措施,建议不要将Apache SkyWalkingGraphQL接口暴露在外网,或在GraphQL接口之上增加一层认证。

 

【腾讯安全解决方案】

1)腾讯T-Sec主机安全(云镜)已支持检测该漏洞。关于T-Sec主机安全的更多信息,可参考:https://cloud.tencent.com/product/cwp


2)腾讯T-Sec云防火墙入侵防御功能已支持检测拦截Apache SkyWalking SQL注入漏洞利用。有关云防火墙的更多信息,可参考:https://cloud.tencent.com/product/cfw


3)腾讯T-Sec 漏洞扫描服务(Vulnerability Scan ServiceVSS)已支持检测全网资产是否存在Apache SkyWalking SQL注入漏洞。关于腾讯T-Sec漏洞扫描服务的更多信息,可参考:https://cloud.tencent.com/product/vss


参考链接:

https://github.com/apache/skywalking/releases/tag/v8.1.0

最新资讯