Harbor肆意治理员注册缝隙安全公告
颁布功夫 2019-09-19●缝隙编号和级别
CVE编号： ：CVE-2019-16097，，危险级别： ：中危，，CVSS分值： ：6.5
●影响版本
Harbor 1.7.0版本至1.8.2版本
●缝隙概述
Harbor是一个用于存储和分发Docker镜像的企业级Registry服务器，，通过增长一些企业必须的职能个性，，例如安全、标识和治理等，，扩大了开源Docker Distribution。。�！！Ｗ魑桓銎笠导端接蠷egistry服务器，，Harbor提供了更好的机能和安全。。�！！Ｌ嵘没褂肦egistry构建和运行环境传输镜像的效能。。�！！arbor支持装置在多个Registry节点的镜像资源复制，，镜像全数保留在私有Registry中，， 确保数据和知识产权在公司内部网络中管控。。�！！１鸬�，，Harbor也提供了高级的安全个性，，诸如用户治理，，接见节制和活动审计等。。�！！�
近日Harbor曝出一个垂直越权缝隙，，因注册�？？？槎圆问Ｑ椴谎细�，，可导致肆意治理员注册。。�！！９セ髡吣芄煌ü⒉嶂卫碓闭撕爬词帐蹾arbor镜像仓库，，从而写入恶意镜像，，最终能够习染使用此仓库的客户端。。�！！�
目前国内露出在公网的在线实例有2034个，，如下图： ：
Harbor在从前四年中逐步遍及，，在其选取者页面中蕴含很多驰名的赞助商和公司： ：
●缝隙验证
POC视频： ：https://unit42.paloaltonetworks.com/critical-vulnerability-in-harbor-enables-privilege-escalation-from-zero-to-admin-cve-2019-16097/，，利用成功如下图： ：
●修复建议
目前厂商已颁布升级补丁以修复缝隙，，补丁获取链接： ：https://github.com/goharbor/harbor/pull/8917。。�！！�
●参考链接
https://unit42.paloaltonetworks.com/critical-vulnerability-in-harbor-enables-privilege-escalation-from-zero-to-admin-cve-2019-16097/
京公网安备11010802024551号