域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過(guò)

近日，騰訊藍(lán)軍（force.tencent.com）發(fā)現(xiàn)并向Apache SkyWalking官方團(tuán)隊(duì)提交SQL注入漏洞（漏洞編號(hào)：CVE-2020-13921），目前官方已發(fā)布新版本修復(fù)該漏洞。

為避免您的業(yè)務(wù)受影響，騰訊云安全建議您及時(shí)開(kāi)展安全自查，如在受影響范圍，請(qǐng)您及時(shí)進(jìn)行更新修復(fù)，避免被外部攻擊者入侵。

漏洞詳情

Apache SkyWalking 是一款應(yīng)用性能監(jiān)控（APM）工具，對(duì)微服務(wù)、云原生和容器化應(yīng)用提供自動(dòng)化、高性能的監(jiān)控方案。其官方網(wǎng)站顯示，大量的國(guó)內(nèi)互聯(lián)網(wǎng)、銀行、民航等領(lǐng)域的公司在使用此工具。

在SkyWalking多個(gè)版本中，默認(rèn)開(kāi)放的未授權(quán)GraphQL接口，通過(guò)該接口，攻擊者可以構(gòu)造惡意的請(qǐng)求包進(jìn)行SQL注入，從而導(dǎo)致用戶數(shù)據(jù)庫(kù)敏感信息泄露。鑒于該漏洞影響較大，建議企業(yè)盡快修復(fù)。

風(fēng)險(xiǎn)等級(jí)

高風(fēng)險(xiǎn)

漏洞風(fēng)險(xiǎn)

通過(guò)SQL注入，攻擊者可以在服務(wù)器上竊取敏感信息

影響版本

Apache SkyWalking 6.0.0~6.6.0

Apache SkyWalking 7.0.0

Apache SkyWalking 8.0.0~8.0.1

修復(fù)版本

Apache SkyWalking 8.1.0

修復(fù)建議

官方已發(fā)布新版本修復(fù)該漏洞，騰訊云安全建議您：

推薦方案：升級(jí)到Apache SkyWalking 8.1.0或更新版本。

如暫時(shí)無(wú)法升級(jí)，作為緩解措施，建議不要將Apache SkyWalking的GraphQL接口暴露在外網(wǎng)，或在GraphQL接口之上增加一層認(rèn)證。

推薦企業(yè)用戶采取騰訊安全產(chǎn)品檢測(cè)并攔截Apache SkyWalking SQL注入漏洞的攻擊。

騰訊安全解決方案

騰訊云T-Sec Web應(yīng)用防火墻已支持?jǐn)r截防御SkyWalking SQL注入漏洞攻擊。

點(diǎn)擊「閱讀原文」，訪問(wèn)官方更新通告和升級(jí)鏈接：

https://github.com/apache/skywalking/releases/tag/v8.1.0

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！