【在野攻击事件描述】
上周四，腾讯安全威胁情报中心发布了Apache SkyWalking SQL注入漏洞（CVE-2020-13921）风险通告，仅仅几天后，腾讯安全已捕获首个利用该高危漏洞对某大型企业的定向攻击，入侵者试图利用漏洞获取服务器的敏感信息。

腾讯安全威胁情报中心再次提醒相关企业尽快修复漏洞，升级Apache SkyWalking到8.1.0以上版本，建议已部署腾讯安全云防火墙的企业在“入侵防御”里，启用“虚拟补丁”的拦截模式。

腾讯T-Sec高级威胁检测系统（御界）已支持检测该漏洞利用。

以下内容为Apache SkyWalking SQL注入漏洞（CVE-2020-13921）的风险通告及腾讯安全的产品解决方案。

【漏洞描述】
近日，腾讯安全团队发现并向Apache SkyWalking官方团队提交SQL注入漏洞，攻击者可利用漏洞获取服务器的敏感信息，目前官方已发布新版本修复该漏洞。

腾讯安全专家建议相关单位及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

在SkyWalking多个版本中，默认开放的未授权GraphQL接口，通过该接口，攻击者可以构造恶意的请求包进行SQL注入，从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大，建议企业尽快修复。

Apache SkyWalking 是一款应用性能监控（APM）工具，对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示，大量国内互联网、银行、民航等领域的公司在使用此工具。

【漏洞编号】CVE-2020-13921

【漏洞等级】严重

【受影响的版本】
Apache SkyWalking 6.0.0~6.6.0
Apache SkyWalking 7.0.0
Apache SkyWalking 8.0.0~8.0.1

【安全版本】
Apache SkyWalking 8.1.0

【腾讯安全网络空间测绘数据】
腾讯安全网络空间测绘数据显示，Apache SkyWalking在中国有十分广泛的应用，浙江、北京、上海位居前三。

【漏洞修复建议】
官方已发布新版本修复该漏洞，腾讯安全建议相关企业尽快修复。

1. 推荐方案：升级到Apache SkyWalking 8.1.0或更新版本。下载链接：
   a7eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4y4C8P5i4N6S2L8r3E0A6L8X3N6Q4x3X3g2S2M7r3q4U0K9r3g2Q4x3X3g2G2M7X3N6Q4x3V1k6V1L8%4N6F1L8r3!0S2k6s2y4Q4x3V1j5`.

2. 如暂时无法升级，作为缓解措施，建议不要将Apache SkyWalking的GraphQL接口暴露在外网，或在GraphQL接口之上增加一层认证。

【腾讯安全解决方案】
1）腾讯T-Sec主机安全（云镜）已支持检测该漏洞。关于T-Sec主机安全的更多信息，可参考：4b0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8r3!0#2k6q4)9J5k6i4c8W2L8X3y4W2L8Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3!0V1N6h3y4@1i4K6u0r3j5%4N6H3

2）腾讯T-Sec云防火墙入侵防御功能已支持检测拦截Apache SkyWalking SQL注入漏洞利用。有关云防火墙的更多信息，可参考：fdfK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8r3!0#2k6q4)9J5k6i4c8W2L8X3y4W2L8Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3!0V1N6h3y4@1i4K6u0r3j5$3k6%4

3）腾讯T-Sec 漏洞扫描服务（Vulnerability Scan Service，VSS）已支持检测全网资产是否存在Apache SkyWalking SQL注入漏洞。关于腾讯T-Sec漏洞扫描服务的更多信息，可参考：1ebK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8r3!0#2k6q4)9J5k6i4c8W2L8X3y4W2L8Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3!0V1N6h3y4@1i4K6u0r3N6Y4y4K6

参考链接：
7a0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6S2M7r3q4U0K9r3g2Q4x3V1k6K6K9%4W2%4j5h3I4C8K9h3&6Y4i4K6u0r3M7X3g2D9k6h3q4K6k6i4y4Q4x3V1k6@1j5h3N6Q4x3V1k6$3z5q4)9J5k6e0q4Q4x3X3f1H3

4）腾讯T-Sec高级威胁检测系统（腾讯御界）已支持检测Apache SkyWalking SQL注入漏洞的利用。

[培训]科锐逆向工程师培训第53期2025年7月8日开班！