安全播报

【安全通告】Apache SkyWalking SQL注入漏洞安全风险公告(CVE-2020-13921)

编辑/作者:小薇 2020-08-06 我要评论

近日,腾讯蓝军(force.tencent.com)发现并向Apache SkyWalking官方团队提交 SQL 注入漏洞(漏洞编号: CVE-2020-13921 ) ,目前官方已发布新版本修复该漏洞。 为避免您的业务受影响...

  近日,腾讯蓝军(force.tencent.com)发现并向Apache SkyWalking官方团队提交SQL注入漏洞(漏洞编号:CVE-2020-13921 ,目前官方已发布新版本修复该漏洞。

  为避免您的业务受影响,腾讯云安全建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵

  漏洞详情

  Apache SkyWalking 是一款应用性能监控(APM)工具,对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示,大量的国内互联网、银行、民航等领域的公司在使用此工具。

  在SkyWalking多个版本中,默认开放的未授权GraphQL接口,通过该接口,攻击者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。

  风险等级

  高风险

  漏洞风险

  通过SQL注入,攻击者可以在服务器上窃取敏感信息

  影响版本

  Apache SkyWalking 6.0.0~6.6.0

  Apache SkyWalking 7.0.0

  Apache SkyWalking 8.0.0~8.0.1

  修复版本

  Apache SkyWalking 8.1.0

  修复建议

  官方已发布新版本修复该漏洞,腾讯云安全建议您:

  推荐方案:升级到Apache SkyWalking 8.1.0 或更新版本。

  如暂时无法升级,作为缓解措施,建议不要将Apache SkyWalkingGraphQL接口暴露在外网,或在GraphQL接口之上增加一层认证

  推荐企业用户采取腾讯安全产品检测并拦截Apache SkyWalking SQL注入漏洞的攻击

  腾讯安全解决方案

  腾讯云T-Sec Web应用防火墙已支持拦截防御SkyWalking SQL注入漏洞攻击。

  点击「阅读原文」,访问官方更新通告和升级链接:

  https://github.com/apache/skywalking/releases/tag/v8.1.0

文章来源:网络

1.本站遵循行业规范,任何转载的稿件都会明确标注作者和来源;2.本站的原创文章,请转载时务必注明文章作者和来源,不尊重原创的行为我们将追究责任;3.作者投稿可能会经我们编辑修改或补充。4、对于网友投稿的文章请仔细核对其真实性,如遇要求汇款转账情况,请格外谨慎。

相关文章
  • 高通芯片漏洞高达400处,超10亿用户被攻击,黑客

    高通芯片漏洞高达400处,超10亿用户被攻击,黑客

  • 【安全通告】Apache SkyWalking SQL注入漏洞安全风险

    【安全通告】Apache SkyWalking SQL注入漏洞安全风险

  • 济宁网警提醒:手机被植入木马 这些人被盯上

    济宁网警提醒:手机被植入木马 这些人被盯上

  • 移动应用的“隐私之殇”:非法窃取用户信息再

    移动应用的“隐私之殇”:非法窃取用户信息再