Harbor未授权访问漏洞安全风险通告第二次更新

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

安全通告

Harbor 是一个开源的可信云原生注册表项目，用于存储、签名和扫描内容。Harbor 通过添加用户通常需要的功能（例如安全性、身份和管理）来扩展开源 Docker Distribution。让注册表更接近构建和运行环境可以提高图像传输效率。Harbor 支持在注册中心之间复制镜像，还提供高级安全功能，例如用户管理、访问控制和活动审计。

近日，奇安信CERT监测到Harbor未授权访问漏洞，Harbor 中存在访问控制错误问题，当私有仓库配置不当时，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，攻击者可以利用漏洞拉取私有镜像。经研判，该漏洞利用前置条件较高，用户不必惊慌。目前，此漏洞技术细节和POC已公开，建议客户尽快做好自查及防护。

本次更新内容：

更新漏洞描述；更新版本说明；更新漏洞评级。

漏洞名称	Harbor 未授权访问漏洞
公开时间	2023-01-13	更新时间	2023-01-17
CVE编号	CVE-2022-46463	其他编号	QVD-2023-2148
威胁类型	信息泄露	技术类型	身份认证错误
厂商	Harbor	产品	Harbor
风险等级
奇安信CERT风险评级	风险等级
中危	蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
已发现	未发现	未发现	已公开
漏洞描述	Harbor 中存在访问控制错误问题，允许攻击者无需身份验证即可访问公共和私有镜像存储库的所有信息，并拉取镜像。
影响版本	仅测试1.5.0版本，不排除其他版本受漏洞影响
不受影响版本	Harbor > 2.5.3
其他受影响组件	无

目前，奇安信CERT已在Harbor 1.5.0版本复现Harbor未授权访问漏洞(CVE-2022-46463)，截图如下：

威胁评估

漏洞名称	Harbor 未授权访问漏洞
CVE编号	CVE-2022-46463	其他编号	QVD-2023-2148
CVSS 3.1评级	中危	CVSS 3.1分数	5.9
CVSS向量	访问途径（AV）	攻击复杂度（AC）
网络	高
所需权限（PR）	用户交互（UI）
无	不需要
影响范围（S）	机密性影响（C）
不改变	高
完整性影响（I）	可用性影响（A）
无	无
危害描述	未经身份验证的攻击者可以利用该漏洞访问仓库敏感信息并拉取私有镜像。

处置建议

• 修复建议：
  

目前，官方已有可更新版本，建议受影响用户尽快升级至对应版本。

https://github.com/goharbor/harbor/releases

• 缓解措施：

限制公开访问：进入“项目设置”——“配置管理”——“项目仓库”中的“公开”，取消勾选。

在业务允许的前提下，将系统部署在内网，减少外部暴露面。

参考资料

[1]https://github.com/advisories/GHSA-5c53-mg2q-8qhc

[2]https://github.com/goharbor/harbor/releases

时间线

2023年1月16日，奇安信 CERT发布安全风险通告；

2023年1月17日，奇安信CERT发布安全风险通告第二次更新。

点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情