平台
go
组件
github.com/goharbor/harbor
修复版本
<v2.9.5
<v2.10.3
2.9.5
2.9.5+incompatible
CVE-2024-22278 是一个权限绕过漏洞，影响 Harbor 项目配置更新功能。攻击者可以利用此漏洞绕过用户权限验证，从而未经授权地修改 Harbor 项目的配置。该漏洞影响 Harbor 2.9.5 之前的版本。目前已发布修复版本 2.9.5+incompatible，建议尽快升级。
该漏洞允许攻击者在 Harbor 环境中执行未经授权的配置更改。攻击者可以修改项目访问控制策略、镜像仓库权限、以及其他关键配置，从而可能导致数据泄露、服务中断，甚至完全控制 Harbor 实例。攻击者可以利用该漏洞进行横向移动，访问其他项目或资源，扩大攻击范围。如果 Harbor 用于存储敏感的容器镜像，该漏洞可能导致这些镜像被篡改或泄露，造成严重的后果。
该漏洞已公开披露，目前尚未观察到大规模利用。该漏洞的 EPSS 评级为中等，表明存在被利用的可能性。建议密切关注安全社区的动态，并及时采取缓解措施。请参考 GitHub 上的相关 issue 了解更多信息。
Organizations heavily reliant on Harbor for container image storage and distribution are at significant risk. This includes DevOps teams, CI/CD pipelines, and any environment where containerized applications are deployed. Specifically, those using Harbor in multi-tenant environments or with complex RBAC configurations should prioritize patching.
• go / server:
journalctl -u harbor -f | grep -i 'permission denied'• generic web:
curl -I <harbor_url>/api/projects/<project_name> | grep -i '403 forbidden'disclosure
漏洞利用状态
EPSS
0.18% (39% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是升级 Harbor 至 2.9.5+incompatible 或更高版本。如果无法立即升级，可以考虑实施以下临时缓解措施：严格审查 Harbor 用户权限，确保只有授权用户才能修改项目配置。实施多因素身份验证 (MFA) 以增强用户身份验证的安全性。监控 Harbor 日志，查找异常的配置更改活动。考虑使用 Web 应用防火墙 (WAF) 规则来阻止潜在的攻击尝试。升级后，请验证项目配置是否已恢复正常，并确认权限设置是否正确。
Actualice Harbor a la versión 2.9.5 o superior, o a la versión 2.10.3 o superior. Esto corregirá la validación incorrecta de permisos de usuario al actualizar las configuraciones del proyecto. La actualización se puede realizar a través de la interfaz de usuario de Harbor o mediante la línea de comandos.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-22278 是一个权限绕过漏洞，影响 Harbor 项目配置更新功能，攻击者可以绕过权限验证修改项目配置。
如果您正在使用 Harbor 2.9.5 之前的版本，则可能受到此漏洞的影响。请尽快升级至 2.9.5+incompatible 或更高版本。
升级 Harbor 至 2.9.5+incompatible 或更高版本是修复此漏洞的最佳方法。
目前尚未观察到大规模利用，但存在被利用的可能性。建议密切关注安全动态。
请访问 Harbor GitHub 仓库的相应 issue 页面获取官方公告和更多信息：[https://github.com/goharbor/harbor/issues](https://github.com/goharbor/harbor/issues)
上传你的 go.mod 文件，立即知道是否受影响。