关于开源代码质量管理系统SonarQube未授权访问漏洞的预警提示

发布时间:2021-11-15 14:38阅读:10

一、漏洞详情

SonarQube是一款开源的代码质量管理系统,提供软件代码审计功能,在软件开发企业使用较多。该系统在默认配置下,未对其API接口进行任何访问控制,导致可不经认证通过互联网下载该系统审计过的程序源代码。另外,该系统默认管理员凭据是弱口令,如未更改,极易被利用来直接登录获得该系统审计过的源代码。

目前,已有攻击者利用SonarQube的相关漏洞攻击我国境内软件企业窃取项目源代码的事件发生。鉴于漏洞高危,构成软件供应链安全风险,请各单位全面排查,自身以及项目承包商或软件提供商是否采用SonarQube做软件质量管理,是否因默认配置而受漏洞影响,并组织及时开展漏洞修补、风险防范工作,以免发生源代码等项目重要资产失窃的安全事件。

二、修复建议

1.更改默认设置,包括更改默认的管理员用户名、口令(避免弱口令)和端口;

2.将SonarQube部署于内网环境并通过防火墙等进行访问控制,禁止未经验证的访问。