Apache SkyWalking 漏洞安全風險公告

2020-12-22 IT168

　　近日，騰訊藍軍（force.tencent.com）發現並向Apache SkyWalking官方團隊提交SQL注入漏洞（漏洞編號：CVE-2020-13921），目前官方已發布新版本修復該漏洞。

　　為避免您的業務受影響，騰訊雲安全建議您及時開展安全自查，如在受影響範圍，請您及時進行更新修復，避免被外部攻擊者入侵。

　　漏洞詳情

　　Apache SkyWalking 是一款應用性能監控（APM）工具，對微服務、雲原生和容器化應用提供自動化、高性能的監控方案。其官方網站顯示，大量的國內網際網路、銀行、民航等領域的公司在使用此工具。

　　在SkyWalking多個版本中，默認開放的未授權GraphQL接口，通過該接口，攻擊者可以構造惡意的請求包進行SQL注入，從而導致用戶資料庫敏感信息洩露。鑑於該漏洞影響較大，建議企業儘快修復。

　　風險等級

　　高風險

　　漏洞風險

　　通過SQL注入，攻擊者可以在伺服器上竊取敏感信息

　　影響版本

　　Apache SkyWalking 6.0.0~6.6.0

　　Apache SkyWalking 7.0.0

　　Apache SkyWalking 8.0.0~8.0.1

　　修復版本

　　Apache SkyWalking 8.1.0

　　修復建議

　　官方已發布新版本修復該漏洞，騰訊雲安全建議您：

　　推薦方案：升級到Apache SkyWalking 8.1.0或更新版本。

　　如暫時無法升級，作為緩解措施，建議不要將Apache SkyWalking的GraphQL接口暴露在外網，或在GraphQL接口之上增加一層認證。

　　推薦企業用戶採取騰訊安全產品檢測並攔截Apache SkyWalking SQL注入漏洞的攻擊。

　　騰訊安全解決方案

　　騰訊雲T-Sec Web應用防火牆已支持攔截防禦SkyWalking SQL注入漏洞攻擊。

　　點擊「閱讀原文」，訪問官方更新通告和升級連結：

　　https://github.com/apache/skywalking/releases/tag/v8.1.0

相關焦點

  • skywalking-1:skywalking3.2.6生產級部署(歷史總結)
    版本與下載skywalking與elasticsearch版本：skywalking-stable-3.2.6，elasticsearch5.6.8wget https://github.com/apache/incubator-skywalking/releases
  • Apache HTTP Server 2.4.43 發布 修復安全漏洞
    Apache HTTP Server 2.4.43 穩定版已發布，此版本主要是修復安全漏洞以及內存洩露相關的錯誤。修復 CVE-2020-1934 安全漏洞：mod_proxy_ftp 在代理至惡意 FTP 伺服器時可能會使用未初始化的內存。
  • 「網絡安全」關於Apache Shiro權限繞過高危漏洞的 預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）公布了深信服終端檢測平臺（EDR）遠程命令執行高危漏洞，攻擊者利用該漏洞可遠程執行系統命令，獲得目標伺服器的權限。一、漏洞情況Apache Shiro是一個強大且易用的Java安全框架,用於執行身份驗證、授權、密碼和會話管理。
  • 雲安全日報201204:Apache Tomcat應用伺服器發現信息洩露漏洞,需要...
    12月3日，Apache Tomcat安全團隊發布了安全更新,修復了Tomcat中信息洩露等重要漏洞。以下是漏洞詳情：漏洞詳情來源：https://lists.apache.org/thread.html/rce5ac9a40173651d540babce59f6f3825f12c6d4e886ba00823b11e5%40%3Cannounce.tomcat.apache.org%3E
  • ChaosBlade x SkyWalking 微服務高可用實踐
    SkyWalking 安裝&使用SkyWalking 安裝和使用文檔詳見：https://github.com/apache/skywalking/tree/v8.1.0/docs工具部署好之後，下面我們將結合案例，主動出擊，通過故障注入，觀察系統行為，定位問題並發現系統缺陷，以便構建高可用的微服務系統。
  • 「漏洞預警」Apache Solr Velocity模板遠程代碼執行復現
    漏洞背景近日,國外安全研究員s00py公開了一個Apache Solr的Velocity模板注入的漏洞。該漏洞可以攻擊最新版本的Solr，目前該漏洞利用詳情已經廣泛流傳於Github以及各大安全群，且公開的EXP可以執行任意命令並自帶回顯，官方暫未發布補丁。
  • 思科發布安全公告,公開致謝360發現Cisco AnyConnect文件損壞漏洞
    7月1日，思科Cisco在官網上發布了最新安全公告，公開致謝了360網絡安全響應中心(360-CERT)團隊協助發現了存在於Cisco AnyConnect的Mac OS客戶端卸載程序組件中的文件損壞漏洞(CVE-2020-3432)。
  • B站數千帳號存被盜風險 代理遊戲登錄方式現安全漏洞
    4月16日，B站發布公告稱，經過排查，發現從4月14日8時起，有來自福州、金華兩地的IP，出現了集中登錄帳號，並關注「小米公司」的異常操作。 　　該公告稱，經過與小米公司的溝通，B站了解到，小米公司近期將舉辦新品發布會，正在針對關注B站的小米官方帳號的粉絲，舉辦抽獎活動。B站初步推測，這一異常現象，疑似為黃牛針對小米公司抽獎活動而進行的操作。
  • ApacheShiro身份驗證繞過高危漏洞的預警通報
    近日，Apache官方公布了Apache Shiro身份驗證繞過高危漏洞和Apache Dubbo反序列化高危漏洞。遠程攻擊者通過Apache Shiro身份驗證繞過高危漏洞可繞過身份驗證，通過Apache Dubbo反序列化高危漏洞可造成惡意代碼執行。
  • 奇安信代碼安全實驗室協助微軟修復高危漏洞 獲官方致謝
    奇安信代碼安全實驗室研究員為微軟發現兩個漏洞（CVE-2020-17038和CVE-2020-17030），其中CVE-2020-17038為「高危」級別。研究員第一時間向微軟報告並協助其修復漏洞。
  • 採用Thunderbolt埠的個人計算機含有無法修補的安全漏洞
    荷蘭安荷芬理工大學（Eindhoven University of Technology）的研究人員近日披露，由英特爾（Intel）與蘋果共同開發的Thunderbolt接口含有安全漏洞，只要給黑客實體接觸設備5分鐘的時間，就能讀取及複製設備上的所有資料，影響Thunderbolt 1、2、3，並波及自2011到2020
  • 青藤雲安全:攻防未動,漏洞先行,標準化漏洞建模與生命周期管理
    漏洞管理生態系統近年來開始逐漸成熟起來，安全從業者投入大量時間來發現、管理、分類和交流漏洞。漏洞描述的標準化不僅有助於威脅情報共享，而且還有助於有效管理潛在的威脅，幫助組織、供應商和安全研究人員積極尋求發現漏洞並及時作出響應。
  • Oracle發布7月份安全公告 360安全大腦測繪雲再獲Oracle官方致謝
    近日，全球第二大軟體公司Oracle通過官網發布最新安全公告，公開致謝360安全大腦測繪雲在F5 BIG-IP 遠程代碼執行漏洞（　　該漏洞被公開披露後，360安全大腦第一時間組織專家力量，通過安全大腦-測繪雲對全網已暴露的該漏洞進行安全感知，避免任何未被及時修復的「漏網之魚」被利用。
  • 贈書|SkyWalking 觀測 Service Mesh 技術大公開
    通用Service Mesh的協議保存在https://github.com/apache/skywalking-data-collect-protocol/blob/v6.6.0/service-mesh-probe/service-mesh.proto。
  • The walking zombie
    The walking zombie 休閒益智 大小: 92.76M
  • 漏洞風險提示 | GoAhead Web Server 遠程代碼執行漏洞(CVE-2019-5096)
    GoAhead Web Server 遠程代碼執行漏洞（CVE-2019-5096）12 月 2 日，Cisco Talos 發布報告，指出 GoAhead Web Server 存在一個遠程代碼執行漏洞 CVE-2019-5096：https://talosintelligence.com
  • 微軟Patch Tuesday修補112項漏洞
    微軟昨（10）發布11月份Patch Tuesday安全更新，修補112項漏洞，其中一項修補日前已被黑客用來串聯Chrome漏洞發動攻擊。另外本月起微軟不再提供漏洞細節描述，可能讓IT部門修補起來更為傷腦筋。 在10月罕見僅修補87項漏洞後，本月安全更新再度回到上百個漏洞的水準。
  • [風險]誠志股份:風險提示公告
    [風險]誠志股份：風險提示公告 時間：2015年06月11日 04:09:29&nbsp中財網 證券代碼：000990 證券簡稱：誠志股份 公告編號：2015-40 誠志股份有限公司 風險提示公告 本公司及董事會全體成員保證公告內容真實、準確和完整，沒有虛假記載、誤導性陳述或者重大遺漏。
  • 騰訊安全披露「應用克隆」漏洞 安卓主流APP中槍
    於暘提出安全廠商要建立「移動安全新思維對此，騰訊安全玄武實驗室負責人於暘指出，移動網際網路時代的安全形勢更加複雜，只有真正用移動思維來思考移動安全，才能正確評估安全問題的風險。自查產品 共同修復在發現這些漏洞後，騰訊安全玄武實驗室通過CNCERT向廠商通報了相關信息，並給出了修複方案，避免該漏洞被不法分子利用。
  • 蘋果:郵件程式漏洞不會對用戶構成即時風險
    原標題：《外企動向》蘋果：郵件程式漏洞不會對用戶構成即時風險 　　蘋果