CNCERT通报近期境外黑客组织攻击我国多个企业窃取源代码数据

 

CNVD漏洞平台于11月19日发布了关于SonarQube系统存在未授权访问漏洞的安全公告，漏洞编号为CNVD-2021-84502，攻击者利用该漏洞，可在未授权的情况下获取敏感代码数据。

 

SonarQube是一个开源代码质量管理和分析审计平台，支持包括Java，C#，C/C++，PL/SQL，Cobol，JavaScript，Groovy等二十余种编程语言的代码质量管理，可以对项目中的重复代码、程序错误、编写规范、安全漏洞等问题进行检测，并将结果通过SonarQube Web界面进行呈现。近日，境外媒体相继爆料多起源代码泄露事件，涉及我国多个机构和企业的SonarQube代码审计平台。SonarQube系统在默认配置下，会将通过审计的源代码上传至SonarQube平台。由于SonarQube缺少对API接口访问的鉴权控制，攻击者利用该漏洞，可在未授权的情况下通过访问上述API接口，获取SonarQube平台上的程序源代码，构成项目源代码数据泄露风险。CNVD对该漏洞的综合评级为“高危”。

 

漏洞影响的产品版本包括：SonarQube < 8.6。目前，SonarQube公司已发布新版本修复该漏洞，CNVD建议用户尽快进行自查，并及时升级至最新版本，同时可根据业务情况，加设或调整部署于公网的系统访问策略。CNCERT亦提醒境内使用SonarQube软件的相关单位及时采取措施防范网络攻击行为，如需就该软件漏洞风险相关应对处置工作获取技术支撑与协助，可与以下单位（排名不分先后）联系：
 

 

CNCERT同时在通报中指出，该黑客组织的上述行为严重侵犯我企业知识产权，对我国国家安全和企业利益造成严重威胁。CNCERT呼吁该黑客组织立即停止网络攻击行为。建议相关人员一旦发现我境内网络安全漏洞和威胁后，积极向CNCERT通报相关情况，联系邮箱为cncert@cert.org.cn。