Harbor恣意治理员注册误差清静通告

宣布时间 2019-09-19

●误差编号和级别


CVE编号：CVE-2019-16097，，，，危险级别：中危，，，，CVSS分值：6.5


●影响版本


Harbor 1.7.0版本至1.8.2版本


●误差概述


Harbor是一个用于存储和分发Docker镜像的企业级Registry效劳器，，，，通过添加一些企业必需的功效特征，，，，例如清静、标识和治理等，，，，扩展了开源Docker Distribution 。。。。作为一个企业级私有Registry效劳器，，，，Harbor提供了更好的性能和清静 。。。。提升用户使用Registry构建和运行情形传输镜像的效率 。。。。Harbor支持装置在多个Registry节点的镜像资源复制，，，，镜像所有生涯在私有Registry中，，，， 确保数据和知识产权在公司内部网络中管控 。。。。另外，，，，Harbor也提供了高级的清静特征，，，，诸如用户治理，，，，会见控制和活动审计等 。。。。


克日Harbor曝出一个笔直越权误差，，，，因注册�？？槎圆问Ｑ椴谎峡幔�，，，可导致恣意治理员注册 。。。。攻击者可以通过注册治理员账号来接受Harbor镜像客栈，，，，从而写入恶意镜像，，，，最终可以熏染使用此客栈的客户端 。。。。


现在海内袒露在公网的在线实例有2034个，，，，如下图：


人生就是博-尊龙凯时中国官网




人生就是博-尊龙凯时中国官网


Harbor在已往四年中逐渐普及，，，，在其接纳者页面中包括许多著名的赞助商和公司：


人生就是博-尊龙凯时中国官网



●误差验证


POC视频：https://unit42.paloaltonetworks.com/critical-vulnerability-in-harbor-enables-privilege-escalation-from-zero-to-admin-cve-2019-16097/，，，，使用乐成如下图：


人生就是博-尊龙凯时中国官网





人生就是博-尊龙凯时中国官网


●修复建议


现在厂商已宣布升级补丁以修复误差，，，，补丁获取链接：https://github.com/goharbor/harbor/pull/8917 。。。。


●参考链接


https://unit42.paloaltonetworks.com/critical-vulnerability-in-harbor-enables-privilege-escalation-from-zero-to-admin-cve-2019-16097/