Apache SkyWalking MCP: SW-URL 头信息导致的服务器端请求伪造漏洞

攻击者利用此 SSRF 漏洞可以访问内部服务，读取敏感数据，甚至执行恶意代码。例如，攻击者可能利用该漏洞扫描内部网络，发现隐藏的服务，并尝试利用这些服务中的其他漏洞。如果 SkyWalking MCP 运行在具有访问内部数据库或 API 的环境中，攻击者可能能够窃取敏感信息，例如用户凭据、业务数据或配置信息。此外，攻击者还可以利用该漏洞发起进一步的攻击，例如横向移动到其他内部系统。

Organizations deploying Apache SkyWalking MCP version 0.1.0, particularly those with sensitive internal services accessible from the SkyWalking server, are at risk. Shared hosting environments where SkyWalking MCP is deployed alongside other applications should also be considered vulnerable, as a compromised SkyWalking instance could potentially be used to attack other tenants.

• linux / server:

journalctl -u skywalking-mcp -g "SW-URL"

• generic web:

curl -I <skywalking_mcp_url>/api/some/endpoint | grep -i 'sw-url:'

1. 2026-04-13Disclosure

   disclosure

1. 已保留2026-03-28
2. 发布日期2026-04-13
3. 修改日期2026-04-14
4. EPSS 更新日期2026-04-21

最有效的缓解措施是立即升级至 Apache SkyWalking MCP 0.2.0 版本或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：在反向代理或 Web 应用防火墙 (WAF) 中配置规则，以阻止包含恶意 SW-URL Header 的请求。此外，可以限制 SkyWalking MCP 访问外部资源的权限，例如通过配置网络策略或使用防火墙规则。升级后，请验证配置是否正确，并检查系统日志中是否存在异常活动。