Apache SkyWalking queryLog SQL注入漏洞

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2022-01-01
漏洞描述
Apache Skywalking 是专门为微服务架构和云原生架构系统而设计并且支持分布式链路追踪的APM系统。
Skywalking历史上存在两次sql注入漏洞,CVE-2020-9483、CVE-2020-13921。经过源码分析,发现两次sql注入漏洞修复并不完善,仍存在一处sql注入漏洞。(该请求无页面入口,需要根据graphql配置文件手动进行请求构造,或许这就是官方遗漏该注入点的原因)。
解决建议
1.升级Apache Skywalking 到最新版本;
2.将默认h2数据库替换为其它支持的数据库。
CVSS3评分
N/A
  • 攻击路径
    N/A
  • 攻击复杂度
    N/A
  • 权限要求
    N/A
  • 影响范围
    N/A
  • 用户交互
    N/A
  • 可用性
    N/A
  • 保密性
    N/A
  • 完整性
    N/A
CWE-ID 漏洞类型
阿里云安全产品覆盖情况