Skywalking 远程代码执行漏洞预警
01 时间轴
2021-01-23
蚂蚁安全非攻实验室 @fatansyC4t 向Apache官方报告了Apache Skywalking远程代码执行漏洞
2021-02-04
Apache Skywalking官方发布了补丁，修复了该漏洞。
2021-02-07
阿里云安全发布漏洞风险提示。
02 漏洞分析
Skywalking历史上存在两次sql注入漏洞，CVE-2020-9483、CVE-2020-13921。经过源码分析，发现两次sql注入漏洞修复并不完善，仍存在一处sql注入漏洞。(该请求无页面入口，需要根据graphql配置文件手动进行请求构造，或许这就是官方遗漏该注入点的原因)
Skywalking默认配置下使用的数据库为h2，且使用sa权限启动。
通过查询官方文档得知，h2数据库存在写文件函数FILE_WRITE（需要admin权限执行），文件内容及文件名均可控。
另一个LINK_SCHEMA函数可以指定并发起一次jdbc或者jndi请求，但由于目标环境中无tomcat和springboot依赖，所以在高版本jdk中也无法进行通用的jndi利用，需要在本地依赖中寻找reference链。
进一步分析LINK_SCHEMA底层源码，发现代码中存在一处类加载过程，而这个类就是sql函数的第二个参数，用户可控。（这个参数用于指定本次使用的jdbc驱动类或者jndi context类）
于是我们可以先利用任意文件写入函数在classpath中写一个恶意类，然后再使用LINK_SCHEMA函数来加载这个恶意类，实现远程代码执行。
03 漏洞证明
04 修复建议
1、升级Apache Skywalking 到最新的 v8.4.0 版本。
2、将默认h2数据库替换为其它支持的数据库。
05 安全产品
| 安全产品 | 解决方案 |
|---|---|
| 云盾WAF | **已可防护该类漏洞，并提供7天免费漏洞应急服务，为 您争取漏洞修复时间，应急开通地址：https://c.tb.cn/I3.XzCtR |
| 阿里云云安全中心 | 应急漏洞模块已支持对该漏洞一键检测 |
| 阿里云云防火墙 | 已可以防御此攻击 |
原创：阿里云先知
原创链接：https://mp.weixin.qq.com/s/hB-r523_4cM0jZM...
