【已复现】Harbor未授权访问漏洞(CVE-2022-46463)安全风险通告
奇安信CERT
致力于第一时间为企业级用户提供安全风险通告和有效解决方案。
安全通告
Harbor 是一个开源的可信云原生注册表项目，用于存储、签名和扫描内容。Harbor 通过添加用户通常需要的功能（例如安全性、身份和管理）来扩展开源 Docker Distribution。让注册表更接近构建和运行环境可以提高图像传输效率。Harbor 支持在注册中心之间复制镜像，还提供高级安全功能，例如用户管理、访问控制和活动审计。
近日，奇安信CERT监测到Harbor未授权访问漏洞(CVE-2022-46463)，Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。目前，此漏洞技术细节和POC已公开，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。
漏洞名称 | Harbor 未授权访问漏洞 | ||
公开时间 | 2023-01-13 | 更新时间 | 2023-01-16 |
CVE编号 | CVE-2022-46463 | 其他编号 | QVD-2023-2148 |
威胁类型 | 信息泄露 | 技术类型 | 身份认证错误 |
厂商 | Harbor | 产品 | Harbor |
风险等级 | |||
奇安信CERT风险评级 | 风险等级 | ||
高危 | 蓝色（一般事件） | ||
现时威胁状态 | |||
POC状态 | EXP状态 | 在野利用状态 | 技术细节状态 |
已发现 | 未发现 | 未发现 | 已公开 |
漏洞描述 | Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。 | ||
影响版本 | 1.x <= Harbor <= 2.5.3 | ||
不受影响版本 | Harbor 2.5.x > 2.5.3 Harbor 2.6.x Harbor 2.7.x | ||
其他受影响组件 | 无 |
威胁评估
漏洞名称 | Harbor 未授权访问漏洞 | ||
CVE编号 | CVE-2022-46463 | 其他编号 | QVD-2023-2148 |
CVSS 3.1评级 | 高危 | CVSS 3.1分数 | 7.5 |
CVSS向量 | 访问途径（AV） | 攻击复杂度（AC） | |
网络 | 低 | ||
所需权限（PR） | 用户交互（UI） | ||
无 | 不需要 | ||
影响范围（S） | 机密性影响（C） | ||
不改变 | 高 | ||
完整性影响（I） | 可用性影响（A） | ||
无 | 无 | ||
危害描述 | Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。 |
处置建议
目前，官方已有可更新版本，建议受影响用户尽快升级至对应版本。
https://github.com/goharbor/harbor/releases
参考资料
[1]https://github.com/advisories/GHSA-5c53-mg2q-8qhc
[2]https://github.com/goharbor/harbor/releases
时间线
2023年1月16日，奇安信 CERT发布安全风险通告。
到奇安信NOX-安全监测平台查询更多漏洞详情