CVE-2019-16097-batch

Haftungsausschluss

Nur für Sicherheitsforschung verwenden. Keine illegalen Tests durchführen. Die Konsequenzen trägt der Benutzer selbst!!!

Massen-Exploit-Skript

Fügen Sie in der Datei url.txt massenhaft Zieladressen hinzu

http://1.1.1.1 http://2.2.2.2

Führen Sie dieses Skript mit Python aus. In result.txt können Sie die endgültigen Überprüfungsergebnisse sehen.

Hintergrund der Sicherheitslücke

Kürzlich wurde im Image-Registry Harbor eine Sicherheitslücke entdeckt, die es einem Angreifer ermöglicht, durch das Einfügen spezifischer Zeichenfolgen in Anfragen ohne Autorisierung direkt ein Administratorkonto zu erstellen und so das Harbor-Image-Registry zu übernehmen. Wir haben die Nachricht erhalten und die Sicherheitslücke umgehend verifiziert. Der Hersteller hat eine Ankündigung veröffentlicht, dass die neuesten Versionen 1.7.6 und 1.8.3 diese Sicherheitslücke beheben. Benutzer sollten so bald wie möglich auf eine sichere Version aktualisieren.

Beschreibung der Sicherheitslücke

Harbor ist ein unternehmensgerechter Registry-Server zum Speichern und Verteilen von Docker-Images. In den Versionen 1.7.0 bis 1.8.2 von Harbor weist die Datei core/api/user.go eine Sicherheitslücke auf. Angreifer können diese Sicherheitslücke ausnutzen, indem sie der Anfrage kritische Parameter hinzufügen, um ein Administratorkonto zu erstellen und das Harbor-Image-Registry zu übernehmen.