【漏洞详情】

近日，平安云安全监测到镜像仓库Harbor官方发布安全更新通告，Harbor 1.8.6和1.9.3之前版本的部分接口存在权限提升、SQL注入、用户枚举等多个高危漏洞。成功利用后导致项目受到未授权访问、以管理员权限在平台上执行操作、信息泄露等安全风险，详细漏洞信息如下：

CVE-2019-19023：普通用户可以通过API调用来修改特定用户的电子邮件地址，从而获得管理员帐户特权；

CVE-2019-19029：Project-Admin功能权限用户可以利用Harbor API接口user-groups SQL注入漏洞从底层数据库读取机密信息或权限提升；

CVE-2019-19026：经过身份验证的管理员可以通过GET参数sort发送特制的SQL有效负载，从而允许从数据库中提取敏感信息；

CVE-2019-3990：/api/users/search 接口用户枚举漏洞；

CVE-2019-19025：Harbor Web界面缺少CSRF保护漏洞。

【风险评级】

CVE-2019-19023（高危）

CVE-2019-19029（高危）

CVE-2019-19026（中危）

CVE-2019-3990（中危）

CVE-2019-19025（低危）

【影响范围】

Harbor 1.7.x

Harbor 1.8.x < 1.8.6

Harbor 1.9.x < 1.9.3

【修复建议】

      建议受影响用户综合评估漏洞风险和业务影响，可通过升级Harbor版本到安全版本避免安全风险，版本下载地址：https://github.com/goharbor/harbor/releases。

【参考链接】

https://github.com/goharbor/harbor/security/advisories

特别提醒：修复漏洞前请进行充分测试，并务必做好数据备份和快照，防止出现意外。

平安云

2019年12月5日