Harbor は、github.com/goharbor/harbor 内でプロジェクト構成を更新する際に、ユーザー権限を検証しません

この脆弱性は、攻撃者がHarborのプロジェクト設定を不正に更新し、権限を昇格させることを可能にします。例えば、攻撃者はプロジェクトのアクセス制御ポリシーを変更し、本来アクセスできないリソースにアクセスしたり、他のユーザーの権限を乗っ取ったりする可能性があります。これにより、機密情報の漏洩、データの改ざん、システムの制御喪失といった深刻な被害が発生する可能性があります。この脆弱性は、Harborの管理インターフェースやAPIを介して悪用される可能性があります。

Organizations heavily reliant on Harbor for container image storage and distribution are at significant risk. This includes DevOps teams, CI/CD pipelines, and any environment where containerized applications are deployed. Specifically, those using Harbor in multi-tenant environments or with complex RBAC configurations should prioritize patching.

• go / server:

journalctl -u harbor -f | grep -i 'permission denied'

• generic web:

curl -I <harbor_url>/api/projects/<project_name> | grep -i '403 forbidden'

1. 2024-08-06Disclosure

   disclosure

1. 予約済み2024-01-08
2. 公開日2024-08-06
3. 更新日2026-03-03
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずHarborを2.9.5+incompatible以上にアップデートすることを推奨します。アップデートがシステムに影響を与える可能性がある場合は、事前にバックアップを取得し、テスト環境でアップデートを検証してください。WAFやプロキシサーバーを使用して、不正なプロジェクト設定更新リクエストをブロックすることも有効です。また、Harborのアクセス制御ポリシーを厳格に設定し、不要な権限を付与しないようにすることも重要です。アップデート後、プロジェクト設定が正しく適用されていることを確認してください。