VMware Harbor 1.7.x、1.8.x < 1.8.6 / 1.9.x < 1.9.3

high Nessus Plugin ID 132856

語系：

概要

遠端主機上安裝的雲端原生登錄受到多個弱點影響。

說明

遠端主機上安裝的 VMware Harbor 版本為 1.7.x 版、1.8.6 之前的 1.8.x 版，或 1.9.3 之前的 1.9.x 版。因此會受到多個弱點影響，其中包括下列弱點：- 權限提升弱點，它可讓經驗證的一般使用者透過進行 API 呼叫修改特定使用者的電子郵件地址來取得系統管理帳戶權限。攻擊者可重設該電子郵件地址的密碼，以取得系統管理帳戶的存取權。此弱點之所以存在是因為受影響的 Harbor API 無法對 API 修改電子郵件地址的要求強制執行適當權限和範圍。(CVE-2019-19023) - 因 Harbor Web 介面無法針對 CSRF 執行保護機制而造成的跨網站要求偽造 (CSRF) 弱點。未經驗證的遠端攻擊者可藉由引誘經驗證的使用者造訪已備妥的第三方網站來惡意利用此弱點，以便在目前已經過驗證之受害者的平台環境中執行任何行動。(CVE-2019-19025) - SQL 插入 (SQLi) 弱點，擁有專案管理能力之經驗證的遠端使用者可藉由傳送特製的 SQL 承載來惡意利用此弱點，以便從基礎資料庫讀取祕密或執行權限提升。(CVE-2019-19029) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。