【威胁通告】Harbor多个漏洞

阅读： 3,524

今日在 Harbor 官方仓库公布了 5 个漏洞，其中包括 2 个官方定级为严重的漏洞（CVE-2019-19025、CVE-2019-19023），2个高危级别漏洞（CVE-2019-19029、CVE-2019-19026），1个中等级别漏洞（CVE-2019-3990）。

综述

Harbor是一个开源镜像管理项目，通过添加一些用户常用的功能特性，例如安全、标识和管理等，扩展了开源Docker Distribution。

CVE-2019-19025：缺少 CSRF 保护漏洞，Harbor Web界面未实现针对跨站点请求伪造（CSRF）的保护机制。通过把经过身份验证的用户吸引到事先准备好的第三方网站，可导致第三方代表经过身份验证的用户或管理员在平台上执行任意操作。
CVE-2019-19023：特权提升漏洞，该漏洞使普通用户可以通过API调用来修改特定用户的电子邮件地址，从而获得管理员帐户特权。漏洞源于Harbor API没有对修改电子邮件地址的API请求进行适当的权限限制。
CVE-2019-19029：通过用户组进行SQL注入，具有项目管理功能的用户可以利用SQL注入来从底层数据库读取机密信息或进行权限提升。
CVE-2019-19026：通过项目quotas进行SQL注入，Harbor API的quotas部分存在一个SQL注入漏洞。经过身份验证的管理员可以通过GET参数发送特制的SQL有效负载，从而从数据库中提取敏感信息。
CVE-2019-3990：用户枚举漏洞，该漏洞存在于 “/users” api 中，这个功能应该仅限于管理员使用，可是该限制可被绕过，非管理员用户（例如通过自我注册创建的用户）可以通过向 /api/users/search发送 GET请求来列出所有用户名和用户ID、确认与用户名关联的电子邮件地址等。

受影响及已修复版本

编号	受影响版本	修复版本
CVE-2019-19025	1.7., 1.8., 1.9.*	1.8.6, 1.9.3
CVE-2019-19023	1.7., 1.8., 1.9.*	1.8.6, 1.9.3
CVE-2019-19029	1.7., 1.8., 1.9.*	1.8.6, 1.9.3
CVE-2019-19026	1.7., 1.8., 1.9.*	1.8.6, 1.9.3
CVE-2019-3990	1.7., 1.8., 1.9.0, 1.9.1	1.8.6, 1.9.3

安全建议

官方已提供修复了以上漏洞的最新版本，请受影响用户尽快下载更新防范风险。

参考链接：

https://github.com/goharbor/harbor/security/advisories/GHSA-gcqm-v682-ccw6

https://github.com/goharbor/harbor/security/advisories/GHSA-3868-7c5x-4827

https://github.com/goharbor/harbor/security/advisories/GHSA-qcfv-8v29-469w

https://github.com/goharbor/harbor/security/advisories/GHSA-rh89-vvrg-fg64

https://github.com/goharbor/harbor/security/advisories/GHSA-6qj9-33j4-rvhg

下载链接：

https://github.com/goharbor/harbor/releases

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关于绿盟科技

北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。

基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：绿盟科技，股票代码：300369。