【已复现】Harbor未授权访问漏洞(CVE-2022-46463)安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

安全通告

Harbor 是一个开源的可信云原生注册表项目，用于存储、签名和扫描内容。Harbor 通过添加用户通常需要的功能（例如安全性、身份和管理）来扩展开源 Docker Distribution。让注册表更接近构建和运行环境可以提高图像传输效率。Harbor 支持在注册中心之间复制镜像，还提供高级安全功能，例如用户管理、访问控制和活动审计。

近日，奇安信CERT监测到Harbor未授权访问漏洞(CVE-2022-46463)，Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。目前，此漏洞技术细节和POC已公开，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

漏洞名称	Harbor 未授权访问漏洞
公开时间	2023-01-13	更新时间	2023-01-16
CVE编号	CVE-2022-46463	其他编号	QVD-2023-2148
威胁类型	信息泄露	技术类型	身份认证错误
厂商	Harbor	产品	Harbor
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
已发现	未发现	未发现	已公开
漏洞描述	Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。
影响版本	1.x <= Harbor <= 2.5.3
不受影响版本	Harbor 2.5.x > 2.5.3 Harbor 2.6.x Harbor 2.7.x
其他受影响组件	无

目前，奇安信CERT已复现Harbor 未授权访问漏洞(CVE-2022-46463)，截图如下：

威胁评估

漏洞名称	Harbor 未授权访问漏洞
CVE编号	CVE-2022-46463	其他编号		QVD-2023-2148
CVSS 3.1评级	高危	CVSS 3.1分数		7.5
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	所需权限（PR）		用户交互（UI）
	无		不需要
	影响范围（S）		机密性影响（C）
	不改变		高
	完整性影响（I）		可用性影响（A）
	无		无
危害描述	Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。

处置建议

目前，官方已有可更新版本，建议受影响用户尽快升级至对应版本。

https://github.com/goharbor/harbor/releases

参考资料

[1]https://github.com/advisories/GHSA-5c53-mg2q-8qhc

[2]https://github.com/goharbor/harbor/releases

时间线

2023年1月16日，奇安信 CERT发布安全风险通告。

点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情