【缝隙公告】SonarQube未授权接见缝隙（CNVD-2021-84502）

颁布功夫 2021-11-24

0x00 缝隙概述

2021年11月5日，，，国度信息安全缝隙共享平台（CNVD）收录了SonarQube系统未授权接见缝隙（CNVD-2021-84502）。。。攻击者能够利用此缝隙在未授权的情况下获取敏感代码数据。。。目前SonarQube公司已经颁布了此缝隙的补丁，，，但缝隙的利用细节已公开。。。

 

0x01 缝隙详情

image.png

SonarQube是一个开源代码质量治理和分析审计平台，，，支持蕴含Java，，，C#，，，C/C++，，，PL/SQL，，，Cobol，，，JavaScript，，，Groovy等二十多种编程说话的代码质量治理，，，能够对项目中的反复代码、、、法式谬误、、、编写规范、、、安全缝隙等问题进行检测，，，并将了局通过SonarQube Web界面进行出现。。。

SonarQube 系统在默认配置下，，，会将通过审计的源代码上传至SonarQube平台。。。由于SonarQube短缺对API接口接见的鉴权节制，，，导致攻击者能够在未授权的情况下通过接见上述API接口，，，获取SonarQube平台上的法式源代码，，，造成项目源代码数据泄露风险。。。

2021年10月以来，，，OG东方厅监测到境外黑客组织AgainstTheWest（简称“ATW”）针对SonarQube平台进行攻击，，，窃取了我国多家政企机构的信息系统源代码，，，并在国外黑客论坛RaidForums上进行犯法售卖。。。

早在2020年4月，，，联邦调查局（FBI）就发现黑客利用SonarQube从美国各个行业和当局机构窃取数据。。。

 

影响领域

SonarQube < 8.6

 

0x02 措置建议

目前SonarQube公司已经修复了此缝隙，，，建议升级更新到SonarQube 8.6或更高版本。。。

缓解措施： ：

l  更改SonarQube 默认设置，，，蕴含更改默认治理员用户名、、、密码和端口(9000)。。。

l  配置开启认证职能，，，构建双成分认证，，，并查抄未经授权的用户是否接见了该实例。。。

l  若是可行，，，撤销对在 SonarQube 实例中公开的任何利用法式编程接口密钥或其他痛处的接见权限。。。

l  将SonarQube 实例配置为组织的防火墙和其他外围防御之后，，，以预防未经身份验证的接见。。。

 

0x03 参考链接

https://mp.weixin.qq.com/s/BSnfaLJX7cuIt3ZfuxpKTA

https://mp.weixin.qq.com/s/mcYlZVGnm9Ubty1qWx3sCQ

https://docs.sonarqube.org/latest/setup/get-started-2-minutes/

https://www.bleepingcomputer.com/news/security/fbi-hackers-stole-government-source-code-via-sonarqube-instances/

 

0x04 更新版本

版本

日期

批改内容

V1.0

2021-11-24

初次颁布

 

0x05 关于OG东方厅

OG东方厅简介

OG东方厅公司成立于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是国内最具实力的信息安全产品和安全治理平台、、、安全服务与解决规划的领航企业之一。。。

公司总部位于北京市中关村软件园，，，在全国各省、、、市、、、自治区设立分支机构六十多个，，，占有覆盖全国的销售系统、、、渠道系统和技术支持系统；；并在华北、、、华东、、、西南和华南布局四大研发中心，，，别离为北京研发总部、、、上海研发中心、、、成都研发中心和昭通研发中心。。。

多年来，，，OG东方厅致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，，，援手客户全面提升其IT基础设施的安全性和出产效力，，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。。。

 

关于OG东方厅

OG东方厅安全应急响应中心重要针对重要安全缝隙的预警、、、跟踪和分享全球最新的威胁谍报和安全汇报。。。

关注以下公家号，，，获取全球最新安全资讯： ：

image.png