CVE-2019-16097-batch

Haftungsausschluss

Nur für Sicherheitsforschung verwenden, keine illegalen Tests durchführen. Die Konsequenzen trägt der Benutzer selbst!!!

Batch-Exploit-Skript

Ziele in der Datei url.txt in Batches hinzufügen

http://1.1.1.1 http://2.2.2.2

Führen Sie dieses Skript mit Python aus. Die endgültigen Überprüfungsergebnisse sind in result.txt zu sehen.

Hintergrund der Schwachstelle

Kürzlich wurde im Image-Registry Harbor eine Schwachstelle zur Registrierung beliebiger Administratoren bekannt. Angreifer können durch die Konstruktion spezifischer Zeichenfolgen in der Anfrage ohne Autorisierung direkt ein Administratorkonto erstellen und so das Harbor-Image-Registry übernehmen. Wir haben die Nachricht erhalten und die Schwachstelle umgehend verifiziert. Der Hersteller hat eine Ankündigung veröffentlicht, dass die neuesten Versionen 1.7.6 und 1.8.3 diese Schwachstelle beheben. Bitte aktualisieren Sie so schnell wie möglich auf eine sichere Version.

Beschreibung der Schwachstelle

Harbor ist ein unternehmensweiter Registry-Server zum Speichern und Verteilen von Docker-Images. In der Datei core/api/user.go in Harbor Version 1.7.0 bis 1.8.2 besteht eine Sicherheitslücke. Angreifer können durch Hinzufügen kritischer Parameter in der Anfrage diese Schwachstelle ausnutzen, um ein Administratorkonto zu erstellen und so das Harbor-Image-Registry zu übernehmen.