Apache SkyWalking SQL 注入漏洞安全风险公告(CVE-2020-13921)

最后更新时间:2020-10-13 11:48:21

    2020年8月5日,腾讯蓝军(force.tencent.com)研究发现 Apache SkyWalking 存在 SQL 注入漏洞(漏洞编号:CVE-2020-13921),目前官方已发布新版本修复该漏洞。

    为避免您的业务受影响,腾讯云安全建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵,详情请参见 影响版本

    漏洞详情

    Apache SkyWalking 是一款应用性能监控(APM)工具,对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示,大量的国内互联网、银行及民航等领域的公司在使用此工具。

    在 SkyWalking 多个版本中,默认开放的未授权 GraphQL 接口,通过该接口,攻击者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。

    风险等级

    高风险

    漏洞风险

    通过 SQL 注入,攻击者可以在服务器上窃取敏感信息。

    影响版本

    • Apache SkyWalking 6.0.0 - 6.6.0
    • Apache SkyWalking 7.0.0
    • Apache SkyWalking 8.0.0 - 8.0.1

    修复补丁

    Apache SkyWalking 8.1.0

    修复建议

    官方已发布新版本修复该漏洞,腾讯云安全建议您:

    • 推荐方案:升级到 Apache SkyWalking 8.1.0 或更新版本。
    • 临时缓解方案:如暂时无法升级,作为缓解措施,建议不要将 Apache SkyWalking 的 GraphQL 接口暴露在外网,或在 GraphQL 接口之上增加一层认证。
    • 推荐企业用户:采取腾讯安全产品检测并拦截 Apache SkyWalking SQL 注入漏洞的攻击。

    腾讯云 Web 应用防火墙已支持拦截防御 SkyWalking SQL 注入漏洞攻击。

    参考信息

    如有需要,您可以在 相关 GitHub 链接 中,下载相关参考漏洞。