Harbor多个缝隙安全公告

颁布功夫 2019-12-04

缝隙编号和级别


CVE编号：CVE-2019-19029，，，，，，，危险级别：高危，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-19026，，，，，，，危险级别：高危，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-19025，，，，，，，危险级别：严沉，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-3990，，，，，，，危险级别：中危，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-19023，，，，，，，危险级别：严沉，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-16919，，，，，，，危险级别：严沉，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-16097，，，，，，，危险级别：高危，，，，，，，CVSS分值：官方未评定


影响版本


Harbor 1.7.*

Harbor 1.8.*<1.8.6

Harbor 1.9.*<1.9.3


缝隙概述


Harbor是一个用于存储和分发Docker镜像的企业级Registry服务器，，，，，，，通过增长一些企业必须的职能个性，，，，，，，例如安全、标识和治理等，，，，，，，扩大了开源Docker Distribution。。。。 。。。。作为一个企业级私有Registry服务器，，，，，，，Harbor提供了更好的机能和安全。。。。 。。。。提升用户使用Registry构建和运行环境传输镜像的效能。。。。 。。。。Harbor支持装置在多个Registry节点的镜像资源复造，，，，，，，镜像全数保留在私有Registry中，，，，，，，确保数据和知识产权在公司内部网络中管控。。。。 。。。。另表，，，，，，，Harbor也提供了高级的安全个性，，，，，，，诸如用户治理，，，，，，，接见节造和活动审计等。。。。 。。。。


凭据Harbor官方安全公告, Harbor存在以下安全问题：


CVE-2019-19026、CVE-2019-19029缝隙：Harbor存在SQL查问语句过滤不严导致SQL注入；；；；；；；；


CVE-2019-19023缝隙：Harbor在挪用API时未对API要求进行严格限度，，，，，，，存在通常用户能够通过挪用API批改特定用户的电子邮件地址，，，，，，，从而获得治理怨厥户权限，，，，，，，便可沉置该电子邮件地址的密码并获得对该帐户的接见权限。。。。 。。。。


CVE-2019-3990缝隙：Harbor在使用api/users/search时未进行合理身份校验，，，，，，，存在绕过治理员限度进行用户名枚举。。。。 。。。。


CVE-2019-19025缝隙：Harbor在Web界面在使用中，，，，，，，存在身份二次校验不严的情况，，，，，，，从而导致CSRF等缝隙。。。。 。。。。


CVE-2019-16919缝隙：权限提升缝隙。。。。 。。。。


CVE-2019-16097缝隙：允许非治理员用户通过POST / api / users API创建治理怨厥户。。。。 。。。。


缝隙验证


暂无POC/EXP。。。。 。。。。


建复建议


官方已经颁布更新补丁！！！� 。。。。ㄒ楦碌�1.9.3和1.8.6以上版本：


https://github.com/goharbor/harbor/releases/tag/v1.9.3

https://github.com/goharbor/harbor/releases/tag/v1.8.6


参考链接


https://github.com/goharbor/harbor/security/advisories