CVE-2019-16097-batch

免責事項

セキュリティ研究のみに使用し、違法なテストは行わないでください。結果は自己責任となります！！！

バッチ式脆弱性悪用スクリプト

url.txtファイルに対象アドレスを一括で追加してください

http://1.1.1.1 http://2.2.2.2

pythonでこのスクリプトを実行すると、result.txtで最終的な検証結果を確認できます

脆弱性の背景

最近、イメージレジストリHarborに任意の管理者登録の脆弱性が発見されました。攻撃者はリクエストに特定の文字列を構築することで、未承認のまま直接管理者アカウントを作成し、Harborイメージレジストリを乗っ取ることができます。私たちはこの情報を受け、いち早くこの脆弱性の検証を行いました。公式はすでに公告を発表しており、最新の1.7.6および1.8.3でこの脆弱性を修正しています。ご利用中のユーザーは、できるだけ早く安全なバージョンにアップグレードしてください。

脆弱性の説明

Harborは、Dockerイメージの保存と配布に使用されるエンタープライズ向けRegistryサーバーです。Harbor 1.7.0から1.8.2までのバージョンのcore/api/user.goファイルにセキュリティ上の脆弱性が存在します。攻撃者はリクエストに重要なパラメータを追加することで、この脆弱性を利用して管理者アカウントを作成し、Harborイメージレジストリを乗っ取ることができます。