企业空间 采购商城 存储论坛
华为全闪存阵列 IBM云计算 Acronis 安克诺斯 安腾普 腾保数据
首页 > 网络安全 > 正文

【安全通告】Apache SkyWalking SQL注入漏洞安全风险公告(CVE-2020-13921)

2020-08-07 16:29来源:中国存储网
导读:腾讯云T-Sec Web应用防火墙已支持拦截防御SkyWalking SQL注入漏洞攻击。

近日,腾讯蓝军(force.tencent.com)发现并向Apache SkyWalking官方团队提交SQL注入漏洞(漏洞编号:CVE-2020-13921),目前官方已发布新版本修复该漏洞。

为避免您的业务受影响,腾讯云安全建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

漏洞详情

Apache SkyWalking 是一款应用性能监控(APM)工具,对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示,大量的国内互联网、银行、民航等领域的公司在使用此工具。

在SkyWalking多个版本中,默认开放的未授权GraphQL接口,通过该接口,攻击者可以构造恶意的请求包进行SQL注入,从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大,建议企业尽快修复。

风险等级高风险

漏洞风险

通过SQL注入,攻击者可以在服务器上窃取敏感信息

影响版本

Apache SkyWalking 6.0.0~6.6.0

Apache SkyWalking 7.0.0

Apache SkyWalking 8.0.0~8.0.1

修复版本

Apache SkyWalking 8.1.0

修复建议

官方已发布新版本修复该漏洞,腾讯云安全建议您:

推荐方案:升级到Apache SkyWalking 8.1.0或更新版本。

如暂时无法升级,作为缓解措施,建议不要将Apache SkyWalking的GraphQL接口暴露在外网,或在GraphQL接口之上增加一层认证。

推荐企业用户采取腾讯安全产品检测并拦截Apache SkyWalking SQL注入漏洞的攻击。

腾讯安全解决方案

腾讯云T-Sec Web应用防火墙已支持拦截防御SkyWalking SQL注入漏洞攻击。

点击「阅读原文」,访问官方更新通告和升级链接:

https://github.com/apache/skywalking/releases/tag/v8.1.0

继续阅读
中国存储网声明:此文观点不代表本站立场,如有版权疑问请联系我们。
相关阅读
产品推荐
头条阅读
栏目热点

Copyright @ 2006-2019 ChinaStor.COM 版权所有 京ICP备14047533号

中国存储网

存储第一站,存储门户,存储在线交流平台