漏洞預警 | Harbor任意管理員註冊漏洞

• 2019 年 10 月 7 日
• 筆記

一、前言

Harbor是一個用於存儲和分發Docker鏡像的企業級Registry服務器，通過添加一些企業必需的功能特性，例如安全、標識和管理等，擴展了開源Docker Distribution。

作為一個企業級私有Registry服務器，Harbor提供了更好的性能和安全。提升用戶使用Registry構建和運行環境傳輸鏡像的效率。Harbor支持安裝在多個Registry節點的鏡像資源複製，鏡像全部保存在私有Registry中， 確保數據和知識產權在公司內部網絡中管控。另外，Harbor也提供了高級的安全特性，諸如用戶管理，訪問控制和活動審計等。

斗象智能安全平台CRS/ARS產品已全面支持該漏洞的檢測與驗證，斗象智能安全平台用戶可直接登陸www.riskivy.com進行驗證。

二、漏洞簡介

近日Harbor曝出一個垂直越權漏洞，因註冊模塊對參數校驗不嚴格，可導致任意管理員註冊。

三、漏洞危害

經斗象安全應急響應團隊分析，攻擊者可以通過註冊管理員賬號來接管Harbor鏡像倉庫，從而寫入惡意鏡像，最終可以感染使用此倉庫的客戶端。

四、影響範圍

產品

Harbor

版本

1.7.0-1.8.2

版本

Harbor

五、漏洞復現

經斗象安全應急響應團隊分析，漏洞確實存在，可以越權註冊管理員賬號。

六、修復方案

1、升級Harbor版本到 1.7.6 和 1.8.3

七、參考

https://unit42.paloaltonetworks.com/critical-vulnerability-in-harbor-enables-privilege-escalation-from-zero-to-admin-cve-2019-16097/ https://github.com/goharbor/harbor/issues/8951

以上是本次高危漏洞預警的相關信息，如有任何疑問或需要更多支持，可通過以下方式與我們取得聯繫。

聯繫電話：400-156-9866 Email：[email protected]