《電子技術應用》
您所在的位置:首頁 > 通信與網絡 > 業界動態 > SonarQube未授權訪問漏洞(CNVD-2021-84502)

SonarQube未授權訪問漏洞(CNVD-2021-84502)

2021-11-26
來源:維他命安全
關鍵詞: SonarQube 漏洞

  0x00 漏洞概述

  2021年11月5日,國家信息安全漏洞共享平臺(CNVD)收錄了SonarQube系統未授權訪問漏洞(CNVD-2021-84502)。攻擊者可以利用此漏洞在未授權的情況下獲取敏感代碼數據。目前SonarQube公司已經發布了此漏洞的補丁,但漏洞的利用細節已公開。

  0x01 漏洞詳情

  SonarQube是一個開源代碼質量管理和分析審計平臺,支持包括Java,C#,C/C++,PL/SQL,Cobol,JavaScript,Groovy等二十多種編程語言的代碼質量管理,可以對項目中的重復代碼、程序錯誤、編寫規范、安全漏洞等問題進行檢測,并將結果通過SonarQube Web界面進行呈現。

  SonarQube 系統在默認配置下,會將通過審計的源代碼上傳至SonarQube平臺。由于SonarQube缺少對API接口訪問的鑒權控制,導致攻擊者可以在未授權的情況下通過訪問上述API接口,獲取SonarQube平臺上的程序源代碼,造成項目源代碼數據泄露風險。

  2021年10月以來,啟明星辰監測到境外黑客組織AgainstTheWest(簡稱“ATW”)針對SonarQube平臺進行攻擊,竊取了我國多家政企機構的信息系統源代碼,并在國外黑客論壇RaidForums上進行非法售賣。

  早在2020年4月,聯邦調查局(FBI)就發現黑客利用SonarQube從美國各個行業和政府機構竊取數據。

  影響范圍

  SonarQube < 8.6

  0x02 處置建議

  目前SonarQube公司已經修復了此漏洞,建議升級更新到SonarQube 8.6或更高版本。

  緩解措施:

  更改SonarQube默認設置,包括更改默認管理員用戶名、密碼和端口(9000)。

  配置開啟認證功能,構建雙因素認證,并檢查未經授權的用戶是否訪問了該實例。

  如果可行,撤銷對在 SonarQube 實例中公開的任何應用程序編程接口密鑰或其他憑據的訪問權限。

  將SonarQube實例配置為組織的防火墻和其他外圍防御之后,以防止未經身份驗證的訪問。

  0x03 參考鏈接

  https://mp.weixin.qq.com/s/BSnfaLJX7cuIt3ZfuxpKTA

  https://mp.weixin.qq.com/s/mcYlZVGnm9Ubty1qWx3sCQ

  https://docs.sonarqube.org/latest/setup/get-started-2-minutes/

https://www.bleepingcomputer.com/news/security/fbi-hackers-stole-government-source-code-via-sonarqube-instances/



電子技術圖片.png


本站內容除特別聲明的原創文章之外,轉載內容只為傳遞更多信息,并不代表本網站贊同其觀點。轉載的所有的文章、圖片、音/視頻文件等資料的版權歸版權所有權人所有。本站采用的非本站原創文章及圖片等內容無法一一聯系確認版權者。如涉及作品內容、版權和其它問題,請及時通過電子郵件或電話通知我們,以便迅速采取適當措施,避免給雙方造成不必要的經濟損失。聯系電話:010-82306118;郵箱:aet@chinaaet.com。
主站蜘蛛池模板: 久久久久久日本一区99 | 成人看片黄a免费 | 亚洲欧美综合国产精品一区 | 亚洲一区二区欧美 | jiucao在线观看精品 | 欧美成人免费在线视频 | 4438全国最大成人网视频 | 手机在线看a | 黄色网址在线免费看 | 日韩精品福利视频一区二区三区 | 日本三级久久 | 国产精品久久久影院 | 亚洲精品字幕一区二区三区 | 午夜伦y4480影院中文字幕 | 亚洲国产成人精品区 | 国产日本欧美亚洲精品视 | 美国一级片免费 | 福利视频午夜 | 国产三级在线视频观看 | 中国一级大黄大片 | 成人午夜做爰视频免费看 | 99久久精品免费观看国产 | 日本 亚洲 欧美 | 91在线 | 亚洲 | 午夜神马视频 | 久香草视频在线观看 | 久久99亚洲精品久久久久网站 | 欧美国产合集在线视频 | 国产日韩免费 | 国内精品久久久久久久亚洲 | 黄色a三级三级三级免费看 黄色a网 | 亚洲成人tv | 国产91久久久久久久免费 | 欧美在线观看a | 久久悠| 成 人 动漫在线观看网站网站 | 美女叉开腿让男人捅 | 毛片在线看免费 | 国产乱码一区二区三区四川人 | 日日摸日日碰夜夜97 | 免费在线观看a级毛片 |