安全通告 | Apache SkyWalking SQL注入漏洞安全风险公告（CVE-2020-13921）
安全通告 | Apache SkyWalking SQL注入漏洞安全风险公告（CVE-2020-13921）
腾讯云安全
发布于 2020-08-06 10:40:21
发布于 2020-08-06 10:40:21
近日，腾讯蓝军（force.tencent.com）发现并向Apache SkyWalking官方团队提交SQL注入漏洞（漏洞编号：CVE-2020-13921），目前官方已发布新版本修复该漏洞。
为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
漏洞详情
Apache SkyWalking 是一款应用性能监控（APM）工具，对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示，大量的国内互联网、银行、民航等领域的公司在使用此工具。
在SkyWalking多个版本中，默认开放的未授权GraphQL接口，通过该接口，攻击者可以构造恶意的请求包进行SQL注入，从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大，建议企业尽快修复。
风险等级
高风险
漏洞风险
通过SQL注入，攻击者可以在服务器上窃取敏感信息。
影响版本
- Apache SkyWalking 6.0.0~6.6.0
- Apache SkyWalking 7.0.0
- Apache SkyWalking 8.0.0~8.0.1
修复版本
- Apache SkyWalking 8.1.0
修复建议
官方已发布新版本修复该漏洞，腾讯云安全建议您：
1. ?推荐方案：升级到Apache SkyWalking 8.1.0或更新版本。
2.? 如暂时无法升级，作为缓解措施，建议不要将Apache SkyWalking的GraphQL接口暴露在外网，或在GraphQL接口之上增加一层认证。
3.? 推荐企业用户采取腾讯安全产品检测并拦截Apache SkyWalking SQL注入漏洞的攻击。
腾讯安全解决方案：
腾讯云T-Sec Web应用防火墙已支持拦截防御SkyWalking SQL注入漏洞攻击。
?点击「阅读原文」，访问官方更新通告和升级链接。
关注腾讯云安全获取更多资讯
点右下角「在看」
开始我们的故事
本文参与?腾讯云自媒体分享计划，分享自微信公众号。
原始发表：2020-08-05，如有侵权请联系?cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读