等保门户网: 测评整改

安全通告 | Apache SkyWalking SQL注入漏洞安全风险公告(CVE-2020-13

来源:admin 发布日期:2020-08-14

近日,腾讯蓝军(force.tencent.com)发现并向Apache SkyWalking官方团队提交SQL注入漏洞(漏洞编号:CVE-2020-13921),目前官方已发布新版本修复该漏洞。

为避免您的业务受影响,腾讯云安全建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

在SkyWalking多个版本中,默认开放的未授权GraphQL接口,通过该接口,攻击者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。

通过SQL注入,攻击者可以在服务器上窃取敏感信息。

  • Apache SkyWalking 6.0.0~6.6.0

  • Apache SkyWalking 7.0.0

  • Apache SkyWalking 8.0.0~8.0.1

  • Apache SkyWalking 8.1.0

官方已发布新版本修复该漏洞,腾讯云安全建议您:

1.  推荐方案:升级到Apache SkyWalking 8.1.0或更新版本。

2.  如暂时无法升级,作为缓解措施,建议不要将Apache SkyWalking的GraphQL接口暴露在外网,或在GraphQL接口之上增加一层认证。

【关闭】 【打印】

您是第 43864767 位访问者
沪ICP备 12039260号 京公网安备 11010802025578号