Harbor未授权访问漏洞安全风险通告第二次更新
奇安信CERT
致力于第一时间为企业级用户提供安全风险通告和有效解决方案。
安全通告
Harbor 是一个开源的可信云原生注册表项目，用于存储、签名和扫描内容。Harbor 通过添加用户通常需要的功能（例如安全性、身份和管理）来扩展开源 Docker Distribution。让注册表更接近构建和运行环境可以提高图像传输效率。Harbor 支持在注册中心之间复制镜像，还提供高级安全功能，例如用户管理、访问控制和活动审计。
近日，奇安信CERT监测到Harbor未授权访问漏洞，Harbor 中存在访问控制错误问题，当私有仓库配置不当时，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，攻击者可以利用漏洞拉取私有镜像。经研判，该漏洞利用前置条件较高，用户不必惊慌。目前，此漏洞技术细节和POC已公开，建议客户尽快做好自查及防护。
本次更新内容：
更新漏洞描述；更新版本说明；更新漏洞评级。漏洞名称 | Harbor 未授权访问漏洞 | ||
公开时间 | 2023-01-13 | 更新时间 | 2023-01-17 |
CVE编号 | CVE-2022-46463 | 其他编号 | QVD-2023-2148 |
威胁类型 | 信息泄露 | 技术类型 | 身份认证错误 |
厂商 | Harbor | 产品 | Harbor |
风险等级 | |||
奇安信CERT风险评级 | 风险等级 | ||
中危 | 蓝色（一般事件） | ||
现时威胁状态 | |||
POC状态 | EXP状态 | 在野利用状态 | 技术细节状态 |
已发现 | 未发现 | 未发现 | 已公开 |
漏洞描述 | Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。 | ||
影响版本 | 仅测试1.5.0版本，不排除其他版本受漏洞影响 | ||
不受影响版本 | Harbor > 2.5.3 | ||
其他受影响组件 | 无 |
目前，奇安信CERT已在Harbor 1.5.0版本复现Harbor未授权访问漏洞(CVE-2022-46463)，截图如下：
威胁评估
漏洞名称 | Harbor 未授权访问漏洞 | ||
CVE编号 | CVE-2022-46463 | 其他编号 | QVD-2023-2148 |
CVSS 3.1评级 | 中危 | CVSS 3.1分数 | 5.9 |
CVSS向量 | 访问途径（AV） | 攻击复杂度（AC） | |
网络 | 高 | ||
所需权限（PR） | 用户交互（UI） | ||
无 | 不需要 | ||
影响范围（S） | 机密性影响（C） | ||
不改变 | 高 | ||
完整性影响（I） | 可用性影响（A） | ||
无 | 无 | ||
危害描述 | 未经身份验证的攻击者可以利用该漏洞访问仓库敏感信息并拉取私有镜像。 |
处置建议
修复建议：
缓解措施：
参考资料
[1]https://github.com/advisories/GHSA-5c53-mg2q-8qhc
[2]https://github.com/goharbor/harbor/releases
时间线
2023年1月16日，奇安信 CERT发布安全风险通告；
2023年1月17日，奇安信CERT发布安全风险通告第二次更新。
到奇安信NOX-安全监测平台查询更多漏洞详情