0x00 漏洞概述
2021年11月5日，國家信息安全漏洞共享平臺(tái)（CNVD）收錄了SonarQube系統(tǒng)未授權(quán)訪問漏洞（CNVD-2021-84502）,。攻擊者可以利用此漏洞在未授權(quán)的情況下獲取敏感代碼數(shù)據(jù)。目前SonarQube公司已經(jīng)發(fā)布了此漏洞的補(bǔ)丁,，但漏洞的利用細(xì)節(jié)已公開。
0x01 漏洞詳情
SonarQube是一個(gè)開源代碼質(zhì)量管理和分析審計(jì)平臺(tái),，支持包括Java,，C#，C/C++,，PL/SQL,，Cobol，JavaScript,，Groovy等二十多種編程語言的代碼質(zhì)量管理,，可以對(duì)項(xiàng)目中的重復(fù)代碼、程序錯(cuò)誤,、編寫規(guī)范,、安全漏洞等問題進(jìn)行檢測(cè)，并將結(jié)果通過SonarQube Web界面進(jìn)行呈現(xiàn),。
SonarQube 系統(tǒng)在默認(rèn)配置下,，會(huì)將通過審計(jì)的源代碼上傳至SonarQube平臺(tái)。由于SonarQube缺少對(duì)API接口訪問的鑒權(quán)控制,，導(dǎo)致攻擊者可以在未授權(quán)的情況下通過訪問上述API接口,，獲取SonarQube平臺(tái)上的程序源代碼，造成項(xiàng)目源代碼數(shù)據(jù)泄露風(fēng)險(xiǎn),。
2021年10月以來，啟明星辰監(jiān)測(cè)到境外黑客組織AgainstTheWest（簡(jiǎn)稱“ATW”）針對(duì)SonarQube平臺(tái)進(jìn)行攻擊,，竊取了我國多家政企機(jī)構(gòu)的信息系統(tǒng)源代碼,，并在國外黑客論壇RaidForums上進(jìn)行非法售賣。
早在2020年4月,，聯(lián)邦調(diào)查局（FBI）就發(fā)現(xiàn)黑客利用SonarQube從美國各個(gè)行業(yè)和政府機(jī)構(gòu)竊取數(shù)據(jù),。
影響范圍
SonarQube < 8.6
0x02 處置建議
目前SonarQube公司已經(jīng)修復(fù)了此漏洞，建議升級(jí)更新到SonarQube 8.6或更高版本,。
緩解措施：
更改SonarQube默認(rèn)設(shè)置,，包括更改默認(rèn)管理員用戶名、密碼和端口（9000）,。
配置開啟認(rèn)證功能,，構(gòu)建雙因素認(rèn)證，并檢查未經(jīng)授權(quán)的用戶是否訪問了該實(shí)例,。
如果可行,，撤銷對(duì)在 SonarQube 實(shí)例中公開的任何應(yīng)用程序編程接口密鑰或其他憑據(jù)的訪問權(quán)限,。
將SonarQube實(shí)例配置為組織的防火墻和其他外圍防御之后，以防止未經(jīng)身份驗(yàn)證的訪問,。
0x03 參考鏈接
https://mp.weixin.qq.com/s/BSnfaLJX7cuIt3ZfuxpKTA
https://mp.weixin.qq.com/s/mcYlZVGnm9Ubty1qWx3sCQ
https://docs.sonarqube.org/latest/setup/get-started-2-minutes/
