报告编号：B6-2021-111502
报告来源：360CERT
报告作者：360CERT
更新日期：2021-11-15
1 漏洞简述
2021年11月15日，360CERT监测发现SonarQube 未授权访问漏洞出现在野利用，漏洞编号为CVE-2020-27986，漏洞等级：高危，漏洞评分：7.5。
SonarQube是一个开源代码质量管理和分析审计平台,支持包括Java，C#，C/C++，PL/SQL，Cobol，JavaScript，Groovy等二十余种编程语言的代码质量管理，可以对项目中的重复代码、程序错误、编写规范、安全漏洞等问题进行检测，并将结果通过SonarQube Web界面进行呈现。
该漏洞已发现在野利用
对此，360CERT建议广大用户及时将SonarQube升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
2 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 攻击者价值 | 高 |
| 利用难度 | 低 |
| 360CERT评分 | 7.5 |
3 漏洞详情
CVE-2020-27986: SonarQube 未授权访问漏洞
CVE: CVE-2020-27986
组件: SonarQube
漏洞类型: 身份验证绕过
影响: 服务器接管
简述: SonarQube配置不当造成未授权访问，攻击者利用该漏洞，可在未授权的情况下通过api/settings/values获取明文SMTP、SVN和Gitlab等敏感信息。
4 影响版本
| 组件 | 影响版本 | 安全版本 |
|---|---|---|
| SonarQube:SonarQube | < 8.6 | >= 8.6 |
5 修复建议
通用修补建议
根据影响版本中的信息，排查并升级到安全版本
6 时间线
2021-11-15 360CERT监测到在野利用
2021-11-15 360CERT发布通告
7 参考链接
1、 https://csl.com.co/sonarqube-auditando-al-auditor-parte-i/
猜你喜欢:暂无回复。
