关于Habor CVE-2022-46463的说明

值得信赖的默安科技

前言

2023年1月15日，部分网络安全厂商发布了一些关于Harbor未授权漏洞的公告。

复现

CVE提交者的POC地址：https://github.com/lanqingaa/123

按照POC的流程进行测试：

测试版本2.4.3，符合披露的版本条件。

下图为仓库中有的一些项目：

在play的项目下，存在too镜像：

在未登陆的harbor首页进行搜索：

可以看出确实能访问到一些仓库，而这些仓库是Public，试着去检索一下私有仓库play/too。

复现失败：

通过搭建不同版本的harbor，版本从1.2到2.7，复现均失败，均无法访问到私有仓库，值得一提的是，2.7版本未像披露说的一样，修复了这个功能。

代码

Search逻辑

在 2.5.3 的代码当中，Search的鉴权方法如下：（src/server/v2.0/handler/search.go）

在访问Search的api以后，会传入一个安全上下文，这个安全上下文会对账户权限进行分割，不难看出若账户没有进入 IsSysAdmin与 IsAuthenticated条件，则访问的逻辑进入else，只能访问public，除了sysadmin之外，即使是登陆用户，也只能看到自己的有权限的private项目。

认证逻辑

IsSysAdmin

IsAuthenticated

安全上下文是由用户的sid而来，并进行一系列方法，最后实例成一个结构实例，在这个结构中，普通用户拥有user属性，而系统管理员则拥有SysAdmin标识，按照poc的攻击流程，服务端颁发的sid一定是没有授权的，那么响应的逻辑是一定进入不到if当中的，只能进入到else。

官方回复

2023年1月17日，某业内漏洞研究员与官方进行联系，以下为官方答复（已获图片授权）：

其它

在POC当中，提到了可以观察镜像的细节，这个事情到底构成漏洞吗？

镜像的构建是叠加结构，也就是说，用一个nginx起一个前端，那么官方的nginx将会为基础image，而更改过配置文件、修改过前端再commit，则是在nginx官方镜像的基础上，再加一层镜像，然后构建成一个新的image。所以，这个模块是没有未授权问题的，若这些构建细节没有了，则public项目的pull则会受影响。

综上所述，默安科技认为该Harbor CVE-2022-46463虽然有漏洞编号，但是很难被说为一个漏洞，更不是某些厂家提到的高危或严重，希望各位政企客户仔细判断。

继续滑动看下一个