VMware Harbor 1.7.x, 1.8.x < 1.8.6/1.9.x < 1.9.3

high Nessus プラグイン ID 132856

Language:

概要

リモートホストにインストールされているクラウドネイティブのレジストリは複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされているVMware Harborのバージョンは、1.7.x、1.8.6より前の1.8.x、1.9.3より前の1.9.xです。したがって、次を含む複数の脆弱性の影響をうけます。- 認証された通常のユーザーがAPI呼び出しを行って特定のユーザーのメールアドレスを変更することで管理者のアカウント権限を取得する可能性のある権限昇格の脆弱性。攻撃者がそのメールアドレスのパスワードをリセットして、管理者のアカウントへのアクセス権を取得する可能性があります。この脆弱性は、影響を受けるHarbor APIが、メールアドレスを変更するためのAPIリクエストに適切な権限と範囲を強制しないことが原因です。（CVE-2019-19023）- Harbor Webインターフェイスがクロスサイトリクエストフォージェリ（CSRF）に対する保護メカニズムを実装していないことによるCSRFの脆弱性。認証されていないリモートの攻撃者が、用意されたサードパーティのWebサイトに認証されたユーザーを誘導することでこれを悪用し、現在認証されている犠牲者のコンテキストで任意のアクションのプラットフォームを実行する可能性があります。（CVE-2019-19025）- SQLインジェクション（SQLi）の脆弱性。Project-Admin権限を持つリモートの認証されたユーザーが、特別に細工されたSQLペイロードを送信することでこれを悪用し、基盤となるデータベースから秘密情報を読み取ったり、権限昇格を実行したりする可能性があります。（CVE-2019-19029）注意：Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。