0x00 漏洞概述
2021年11月5日，國家信息安全漏洞共享平臺（CNVD）收錄了SonarQube系統(tǒng)未授權(quán)訪問漏洞（CNVD-2021-84502）。攻擊者可以利用此漏洞在未授權(quán)的情況下獲取敏感代碼數(shù)據(jù)。目前SonarQube公司已經(jīng)發(fā)布了此漏洞的補(bǔ)丁，但漏洞的利用細(xì)節(jié)已公開。
0x01 漏洞詳情
SonarQube是一個(gè)開源代碼質(zhì)量管理和分析審計(jì)平臺，支持包括Java，C#，C/C++，PL/SQL，Cobol，JavaScript，Groovy等二十多種編程語言的代碼質(zhì)量管理，可以對項(xiàng)目中的重復(fù)代碼、程序錯(cuò)誤、編寫規(guī)范、安全漏洞等問題進(jìn)行檢測，并將結(jié)果通過SonarQube Web界面進(jìn)行呈現(xiàn)。
SonarQube 系統(tǒng)在默認(rèn)配置下，會將通過審計(jì)的源代碼上傳至SonarQube平臺。由于SonarQube缺少對API接口訪問的鑒權(quán)控制，導(dǎo)致攻擊者可以在未授權(quán)的情況下通過訪問上述API接口，獲取SonarQube平臺上的程序源代碼，造成項(xiàng)目源代碼數(shù)據(jù)泄露風(fēng)險(xiǎn)。
2021年10月以來，啟明星辰監(jiān)測到境外黑客組織AgainstTheWest（簡稱“ATW”）針對SonarQube平臺進(jìn)行攻擊，竊取了我國多家政企機(jī)構(gòu)的信息系統(tǒng)源代碼，并在國外黑客論壇RaidForums上進(jìn)行非法售賣。
早在2020年4月，聯(lián)邦調(diào)查局（FBI）就發(fā)現(xiàn)黑客利用SonarQube從美國各個(gè)行業(yè)和政府機(jī)構(gòu)竊取數(shù)據(jù)。
影響范圍
SonarQube < 8.6
0x02 處置建議
目前SonarQube公司已經(jīng)修復(fù)了此漏洞，建議升級更新到SonarQube 8.6或更高版本。
緩解措施：
更改SonarQube默認(rèn)設(shè)置，包括更改默認(rèn)管理員用戶名、密碼和端口（9000）。
配置開啟認(rèn)證功能，構(gòu)建雙因素認(rèn)證，并檢查未經(jīng)授權(quán)的用戶是否訪問了該實(shí)例。
如果可行，撤銷對在 SonarQube 實(shí)例中公開的任何應(yīng)用程序編程接口密鑰或其他憑據(jù)的訪問權(quán)限。
將SonarQube實(shí)例配置為組織的防火墻和其他外圍防御之后，以防止未經(jīng)身份驗(yàn)證的訪問。
0x03 參考鏈接
https://mp.weixin.qq.com/s/BSnfaLJX7cuIt3ZfuxpKTA
https://mp.weixin.qq.com/s/mcYlZVGnm9Ubty1qWx3sCQ
https://docs.sonarqube.org/latest/setup/get-started-2-minutes/
