紧急通告:Apache SkyWalking SQL(CVE-2020-13921)风险通告_第1张图片

0x01漏洞描述

近日,腾讯安全团队向Apache SkyWalking官方团队提交SQL注入漏洞,***者可利用漏洞获取服务器的敏感信息,目前官方已发布新版本修复该漏洞。

东塔安全学院建议相关单位及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部***者***。

0x02漏洞详情

在SkyWalking多个版本中,默认开放的未授权GraphQL接口,通过该接口,***者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。

Apache SkyWalking 是一款应用性能监控(APM)工具,对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示,大量国内互联网、银行、民航等领域的公司在使用此工具。

0x03影响范围

Apache SkyWalking 6.0.0~6.6.0
Apache SkyWalking 7.0.0
Apache SkyWalking 8.0.0~8.0.1

0x04风险等级

严重

0x05安全版本

Apache SkyWalking 8.1.0

0x06空间测绘数据

根据腾讯安全网络空间测绘数据显示,Apache SkyWalking在中国有十分广泛的应用,浙江、北京、上海位居前三。
紧急通告:Apache SkyWalking SQL(CVE-2020-13921)风险通告_第2张图片

0x07漏洞修复方案

官方已发布新版本修复该漏洞:

1)推荐方案:升级到Apache SkyWalking 8.1.0或更新版本。
下载链接:http://skywalking.apache.org/downloads/
东塔安全学院建议修复漏洞前做好备份及测试工作,以防意外发生。

临时解决方案:
2)如暂时无法升级,作为缓解措施,建议不要将Apache SkyWalking的GraphQL接口暴露在外网,或在GraphQL接口之上增加一层认证。