发布日期：2019-09-26
更新日期：2019-09-27

受影响系统：

Harbor Harbor >= 1.7.0
Harbor Harbor <= 1.8.2
VMWare Harbor Container Registry for PCF 1.8.x < 1.8.3
VMWare Harbor Container Registry for PCF 1.7.x < 1.7.6

不受影响系统：

Harbor Harbor 1.8.3
Harbor Harbor 1.7.6
VMWare Harbor Container Registry for PCF 1.8.3
VMWare Harbor Container Registry for PCF 1.7.6

描述：

---

CVE(CAN) ID: CVE-2019-16097

Harbor是VMware的一个开源项目，一个用于存储和分发Docker镜像的企业级Registry服务器，添加了一些企业必需的功能特性，例如安全、标识和管理等。

Harbor Version >= 1.7.0、<= 1.8.2版本，在core/api/user.go 中存在严重特权提升漏洞，允许远程非管理员用户通过在POST /api/users API中添加指定参数创建管理员帐户，从而接管Harbor仓库。

<*来源：Unit 42
  *>

建议：

---

临时解决方法：

系统管理员可以通过 UI 或者 API 禁用 allow self-registration。

UI: Configuration -> Authentication -> Allow Self-Registration(取消复选框)
API:使用配置API更新Self-Registration
PUT /api/configurations
{“self_registration”:false}

厂商补丁：

Harbor
------
Harbor团队和 VMware 官方均已发布修复了上述漏洞的最新版本，建议用户前往以下地址下载更新进行防护。

Harbor v1.8.3    https://github.com/goharbor/harbor/releases/tag/v1.8.3
Harbor v1.7.6    https://github.com/goharbor/harbor/releases/tag/v1.7.6
VMware Harbor Container Registry for PCF 1.8.3    https://network.pivotal.io/products/harbor-container-registry/#/releases/470132
VMware Harbor Container Registry for PCF 1.7.6    https://network.pivotal.io/products/harbor-container-registry/#/releases/470129
VMware Cloud Foundation 修复版本还在等待制作中，请关注官网更新（https://www.vmware.com/security/advisories/VMSA-2019-0015.html）

参考：
[1] Unit 42 报告

https://unit42.paloaltonetworks.com/critical-vulnerability-in-harbor-enables-privilege-escalation-from-zero-to-admin-cve-2019-16097/

[2] Harbor github 仓库

https://github.com/goharbor/harbor

[3] VMware 官方安全通告

https://www.vmware.com/security/advisories/VMSA-2019-0015.html

浏览次数：1768
严重程度：0（网友投票）