风险提示！开源代码质量管理系统SonarQube存在未授权访问漏洞

【发布日期：2021/11/1 16:35:22】  【来源：】

    近日，国家有关部门监测到开源代码质量管理系统SonarQube存在未授权访问漏洞。该系统在默认配置下, 未对其API接口进行任何访问控制，攻击者可以通过向系统发送特定的恶意数据包，不经认证即可通过互联网下载该系统审计过的程序源代码。另外，该系统默认管理员凭据是弱口令，如未更改，极易被利用来直接登录获得该系统审计过的源代码。

    SonarQube是一款开源的代码质量管理系统，提供软件代码审计功能。目前，已有攻击者利用SonarQube的相关漏洞攻击我境内软件企业窃取项目源代码的事件发生。

    鉴于漏洞高危，构成软件供应链安全风险可能造成较为严重后果，建议广大使用SonarQube用户对相关系统进行认真排查，按照官方解决方案及缓解方案及时组织漏洞修补、风险防范工作，关注官方补丁情况并及时进行更新安装，以免发生源代码等项目重要资产失窃的安全事件；注意更改默认配置，包括更改默认的管理员用户名、口令（避免弱口令）和端口；倡导用户将SonarQube部署于内网环境并通过防火墙等进行访问控制，禁止未经验证的访问。

---

来源：网信福建

编辑：谢小姿

审核：黄凌、张小菁