9VSA-00055-001 CSIRT comparte actualizaciones para Harbor

Resumen

El Equipo de Respuesta ante Incidentes de Seguridad Informática, CSIRT, comparte la información entregada por VMWare referente a una vulnerabilidad de escalamiento de privilegios en Harbor.

Vulnerabilidad

CVE-2019-16097

Impacto

Una vulnerabilidad en la API POST /api/users de Harbor puede permitir una escalada remota de privilegios. VMware ha evaluado la gravedad de este problema para estar en el rango de gravedad crítica con una puntuación base máxima de CVSSv3 de 9.8.

Un usuario malicioso con acceso a la red de una API de POST /api/users de Harbor podría autorregistrar una nueva cuenta con privilegios administrativos. La explotación exitosa de este problema puede llevar a un compromiso completo del despliegue de Harbor.

Productos Afectados

  • VMware Cloud Foundation (se ve afectado si el componente ‘Harbor Registry’ se encuentra desplegado)
  • VMware Harbor Container Registry for PCF, versiones anteriores a 1.8.3
  • VMware Harbor Container Registry for PCF, versiones anteriores a 1.7 .6

Mitigación

 Aplicar las actualizaciones publicadas por el fabricante.

Enlace

https://www.vmware.com/security/advisories/VMSA-2019-0015.html

Informe

El informe oficial publicado por el CSIRT del Gobierno de Chile está disponible en el siguiente enlace: 9VSA-00055-001