Kritiek probleem in haven container register geeft beheerderstoegang

Aanvallers kunnen misbruik maken van een kritiek beveiligingsprobleem in het native register van Harbor voor container afbeeldingen om beheerdersrechten op een kwetsbaar hostingsysteem te verkrijgen.

Harbour is open source en kan worden aangepast met Docker Hub en verschillende afbeelding registers zoals Docker Registry, Google Container Registry om beveiligings-, identiteits- en beheerfuncties toe te voegen.

Een populair product gehost door de Cloud Native Computing Foundation (CNCF), Harbor biedt een veilige omgeving die afbeeldingen kan opslaan, ondertekenen en scannen, evenals toegangscontrole en activiteiten controle.

Maak admin-gebruikers

Onderzoeker Aviv Sasson van Unit 42 van Palo Alto Networks ontdekte een kritieke kwetsbaarheid die kan worden misbruikt om de controle over de havenregisters over te nemen met de standaardconfiguratie. Versies 1.7.0 tot 1.8.2 worden beïnvloed.

Bijgehouden als CVE-2019-16097, stelt het beveiligingsprobleem aanvallers in staat een kwaadaardig verzoek naar een kwetsbare machine te sturen en een nieuwe gebruiker te registreren met de rechten van een beheerder.

De onderzoeker ontdekte dat het potentieel is om een ​​POST aanvraag te verzenden naar “/ api / users” met een payload met gebruikersgegevens en ook de parameter ‘HasAdminRole’ toe te voegen.

“Als we hetzelfde verzoek verzenden met” had_admin_role “=” True “, dan zal de gebruiker die wordt aangemaakt een admin zijn. Zo simpel is dat”, legt Sasson uit.

Proof-of-concept (PoC) -code is beschikbaar in de vorm van een Python script dat het verzoek verzendt om een ​​nieuwe gebruiker met beheerdersrechten te maken. Na het uitvoeren van het script kan kan vanuit de webbrowser inloggen op het bedoelde Harbour register.

Patch en vaste versies beschikbaar

Sasson heeft het internet gescand op open Harbor exemplaren en heeft er 2500 gevonden. Hiervan heeft de onderzoeker vastgesteld dat 1.300 kwetsbaar zijn.

“Het gevolg van dit beveiligingslek zijn ernstig. Er zijn veel aanval vectoren die kunnen worden gestart na het verkrijgen van beheerdersrechten” 

– Aviv Sasson –

Een aanvaller die toegang heeft tot een Harbour register, kan de afbeeldingen downloaden voor privéprojecten en controleren op kwetsbaarheden die kunnen worden misbruikt.

Het verwijderen van de inhoud is ook een mogelijkheid, maar het ergste scenario is het uploaden van kwaadaardige versies van de projecten met cryptominers, backdoors en andere soorten malware.

Woensdag hebben de beheerders van Harbor nieuwe versies 1.7.6 en 1.8.3 uitgebracht van het product dat gaan over CVE-2019-16097. Voor deze releases was een patch beschikbaar.