Harbor多个误差清静通告

宣布时间 2019-12-04

误差编号和级别


CVE编号：CVE-2019-19029 ，，， ，，危险级别：高危 ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-19026 ，，， ，，危险级别：高危 ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-19025 ，，， ，，危险级别：严重 ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-3990 ，，， ，，危险级别：中危 ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-19023 ，，， ，，危险级别：严重 ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-16919 ，，， ，，危险级别：严重 ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-16097 ，，， ，，危险级别：高危 ，，， ，，CVSS分值：官方未评定


影响版本


Harbor 1.7.*

Harbor 1.8.*<1.8.6

Harbor 1.9.*<1.9.3


误差概述


Harbor是一个用于存储和分发Docker镜像的企业级Registry效劳器 ，，， ，，通过添加一些企业必需的功效特征 ，，， ，，例如清静、标识和治理等 ，，， ，，扩展了开源Docker Distribution。。。 。。。。。作为一个企业级私有Registry效劳器 ，，， ，，Harbor提供了更好的性能和清静。。。 。。。。。提升用户使用Registry构建和运行情形传输镜像的效率。。。 。。。。。Harbor支持装置在多个Registry节点的镜像资源复制 ，，， ，，镜像所有生涯在私有Registry中 ，，， ，，确保数据和知识产权在公司内部网络中管控。。。 。。。。。另外 ，，， ，，Harbor也提供了高级的清静特征 ，，， ，，诸如用户治理 ，，， ，，会见控制和活动审计等。。。 。。。。。


凭证Harbor官方清静通告, Harbor保存以下清静问题：


CVE-2019-19026、CVE-2019-19029误差：Harbor保存SQL盘问语句过滤不严导致SQL注入；； ；


CVE-2019-19023误差：Harbor在挪用API时未对API请求举行严酷限制 ，，， ，，保存通俗用户可以通过挪用API修改特定用户的电子邮件地点 ，，， ，，从而获得治理员帐户权限 ，，， ，，便可重置该电子邮件地点的密码并获得对该帐户的会见权限。。。 。。。。。


CVE-2019-3990误差：Harbor在使用api/users/search时未举行合理身份校验 ，，， ，，保存绕过治理员限制举行用户名枚举。。。 。。。。。


CVE-2019-19025误差：Harbor在Web界面在使用中 ，，， ，，保存身份二次校验不严的情形 ，，， ，，从而导致CSRF等误差。。。 。。。。。


CVE-2019-16919误差：权限提升误差。。。 。。。。。


CVE-2019-16097误差：允许非治理员用户通过POST / api / users API建设治理员帐户。。。 。。。。。


误差验证


暂无POC/EXP。。。 。。。。。


修复建议


官方已经宣布更新补丁 ，，， ，，建议更新到1.9.3和1.8.6以上版本：


https://github.com/goharbor/harbor/releases/tag/v1.9.3

https://github.com/goharbor/harbor/releases/tag/v1.8.6


参考链接


https://github.com/goharbor/harbor/security/advisories