时间:2021-05-02
近日,腾讯蓝军(force.tencent.com)发现并向Apache SkyWalking官方团队提交SQL注入漏洞(漏洞编号:CVE-2020-13921),目前官方已发布新版本修复该漏洞。
为避免您的业务受影响,腾讯云安全建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。
漏洞详情
Apache SkyWalking 是一款应用性能监控(APM)工具,对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示,大量的国内互联网、银行、民航等领域的公司在使用此工具。
在SkyWalking多个版本中,默认开放的未授权GraphQL接口,通过该接口,攻击者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。
风险等级
高风险
漏洞风险
通过SQL注入,攻击者可以在服务器上窃取敏感信息
影响版本
Apache SkyWalking 6.0.0~6.6.0
Apache SkyWalking 7.0.0
Apache SkyWalking 8.0.0~8.0.1
修复版本
Apache SkyWalking 8.1.0
修复建议
官方已发布新版本修复该漏洞,腾讯云安全建议您:
推荐方案:升级到Apache SkyWalking 8.1.0或更新版本。
如暂时无法升级,作为缓解措施,建议不要将Apache SkyWalking的GraphQL接口暴露在外网,或在GraphQL接口之上增加一层认证。
推荐企业用户采取腾讯安全产品检测并拦截Apache SkyWalking SQL注入漏洞的攻击。
腾讯安全解决方案
腾讯云T-Sec Web应用防火墙已支持拦截防御SkyWalking SQL注入漏洞攻击。
点击「阅读原文」,访问官方更新通告和升级链接:
https://github.com/apache/skywalking/releases/tag/v8.1.0
声明:本页内容来源网络,仅供用户参考;我单位不保证亦不表示资料全面及准确无误,也不保证亦不表示这些资料为最新信息,如因任何原因,本网内容或者用户因倚赖本网内容造成任何损失或损害,我单位将不会负任何法律责任。如涉及版权问题,请提交至online#300.cn邮箱联系删除。
网站风险评估。校内所有网站在上线前,必须通过扫描系统进行合规性与安全性检查,包括但不限于系统漏洞、中间件漏洞、Web漏洞、端口与弱口令扫描等。安全管理员通过漏洞
防范Apache的常见漏洞。Apache可谓是最常见的Web服务器软件之一,它可以高效运行在几乎所有的主机平台上,可以安全可靠的将Perl/Python等解释器
安全漏洞审计和软件风险管理公司Palamida称,该公司在2007年对3亿行代码进行审查之后发现了用户在其开源软件代码中最容易忽略的五个安全漏洞。 这五个最容
高危漏洞建议修复,不然电脑可能会中毒,可以使用电脑的安全软件进行修复,电脑安全软件能够快速全面地检查计算机存在的风险,检查项目主要包括木马、高危系统漏洞、垃圾文
就在前不久微软给出了修复IE危急安全漏洞的补丁,今天,微软又发布了新的安全公告,提醒广大用户在SQL服务器数据库软件中存在一个严重的漏洞—&mdas