緊急通告：Apache SkyWalking SQL(CVE-2020-13921)風險通告

0x01漏洞描述

近日，騰訊安全團隊向Apache SkyWalking官方團隊提交SQL注入漏洞，***者可利用漏洞獲取服務器的敏感信息，目前官方已發佈新版本修復該漏洞。

東塔安全學院建議相關單位及時開展安全自查，如在受影響範圍，請您及時進行更新修復，避免被外部***者***。

0x02漏洞詳情

在SkyWalking多個版本中，默認開放的未受權GraphQL接口，經過該接口，***者能夠構造惡意的請求包進行SQL注入，從而致使用戶數據庫敏感信息泄露。鑑於該漏洞影響較大，建議企業儘快修復。

Apache SkyWalking 是一款應用性能監控（APM）工具，對微服務、雲原生和容器化應用提供自動化、高性能的監控方案。其官方網站顯示，大量國內互聯網、銀行、民航等領域的公司在使用此工具。

0x03影響範圍

Apache SkyWalking 6.0.0~6.6.0
Apache SkyWalking 7.0.0
Apache SkyWalking 8.0.0~8.0.1

0x04風險等級

嚴重

0x05安全版本

Apache SkyWalking 8.1.0

0x06空間測繪數據

根據騰訊安全網絡空間測繪數據顯示，Apache SkyWalking在中國有十分普遍的應用，浙江、北京、上海位居前三。

0x07漏洞修復方案

官方已發佈新版本修復該漏洞：

1）推薦方案：升級到Apache SkyWalking 8.1.0或更新版本。
下載連接：http://skywalking.apache.org/downloads/
東塔安全學院建議修復漏洞前作好備份及測試工做，以防意外發生。

臨時解決方案：2）如暫時沒法升級，做爲緩解措施，建議不要將Apache SkyWalking的GraphQL接口暴露在外網，或在GraphQL接口之上增長一層認證。