搜索

[6171] 2019-09-21_Harbor任意管理员注册漏洞预警

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2019-09-21_Harbor任意管理员注册漏洞预警 H a r b o r 任 意 管 理 员 注 册 漏 洞 预 警 安 恒 应 急 响 应 中 心   E 安 全   2 0 1 9 - 0 9 - 2 1 1 .   安 全 公 告 安 全 公 告 2 0 1 9 年 9 月 1 1 日 , 开 源 的 云 镜 像 管 理 平 台 H a r b o r 发 布 了 安 全 更 新 版 本 ， 修 补 了 一 个 可 被 未 授 权 创 建 管 理 员 账 号 的 漏 洞 ， 对 应 C V E 编 号 ： C V E - 2 0 1 9 - 1 6 0 9 7 ， 相 关 信 息 链 接 ： h t t p s : / / g i t h u b . c o m / g o h a r b o r / h a r b o r / r e l e a s e s 根 据 公 告 ， 通 过 / a p i / u s e r s 接 口 恶 意 攻 击 者 可 以 在 未 授 权 的 情 况 下 创 建 管 理 员 账 号 ， 从 而 接 管   H a r b o r   镜 像 仓 库 管 理 权 限 。 2 .   影 响 版 本 影 响 版 本 C V E - 2 0 1 9 - 1 6 0 9 7 漏 洞 影 响 版 本 ： H a r b o r   1 . 7 . * ： v 1 . 7 . 6 - r c 1 之 前 版 本 ， 建 议 更 新 到 v 1 . 7 . 6 以 上 版 本 ； H a r b o r   1 . 8 . * ： v 1 . 8 . 3 - r c 1 之 前 版 本 ， 建 议 更 新 到 v 1 . 8 . 3 以 上 版 本 ； H a r b o r   1 . 9 . * ： v 1 . 9 . 0 - r c 2 之 前 版 本 ， 建 议 更 新 到 v 1 . 9 . 0 以 上 版 本 ； 目 前 网 上 已 经 公 开 了 部 分 漏 洞 细 节 ， 建 议 及 时 更 新 到 漏 洞 修 复 后 的 版 本 ， 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / g o h a r b o r / h a r b o r / r e l e a s e s / t a g / v 1 . 7 . 6 h t t p s : / / g i t h u b . c o m / g o h a r b o r / h a r b o r / r e l e a s e s / t a g / v 1 . 8 . 3 h t t p s : / / g i t h u b . c o m / g o h a r b o r / h a r b o r / r e l e a s e s / t a g / v 1 . 9 . 0 3 .   影 响 范 围 影 响 范 围 通 过 安 恒 研 究 院 S U M A P 平 台 对 全 球 使 用 了 H a r b o r 的 服 务 器 进 行 统 计 ， 最 新 查 询 分 布 情 况 如 下 ： 通 过 安 恒 研 究 院 S U M A P 平 台 对 全 国 使 用 了 H a r b o r 的 服 务 器 进 行 统 计 ， 最 新 查 询 分 布 情 况 如 下 ：
4 .     缓 解 措 施 缓 解 措 施 高 危 ： 目 前 漏 洞 细 节 已 经 部 分 公 开 ， 建 议 及 时 升 级 到 无 漏 洞 新 版 本 或 安 全 加 固 配 置 ， 临 时 解 决 方 案 ： 可 以 通 过 U I 界 面 或 A P I 接 口 禁 止 “ a l l o w   s e l f - r e g i s t r a t i o n ” 导 航 到 ： C o n f i g u r a t i o n   - >   A u t h e n t i c a t i o n   - >   A l l o w   S e l f - R e g i s t r a t i o n （ 取 消 打 勾 ） 通 过 A P I 访 问 提 交 ： P U T   / a p i / c o n f i g u r a t i o n s { " s e l f _ r e g i s t r a t i o n " : f a l s e } 威 胁 推 演 ： 此 漏 洞 为 未 授 权 操 作 漏 洞 ， 基 于 全 球 使 用 该 应 用 用 户 的 数 量 情 况 ， 恶 意 攻 击 者 可 能 使 用 漏 洞 利 用 脚 本 直 接 对 受 害 服 务 器 进 行 创 建 管 理 用 户 操 作 ， 获 取 管 理 权 限 ， 从 而 影 响 系 统 安 全 性 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理