هفته‌ی گذشته VMware وصله‌هایی برای رفع یک آسیب‌پذیری بحرانی در Harvor منتشر کرد که VMware Cloud Foundation و VMware Harbor Container Registery مربوط به PCF را تحت تأثیر قرار می‌دهد.
Harbor یک پروژه‌ی رجیستری متن‌باز برای ذخیره، امضا و پویش تصاویر کانتینر برای آسیب‌پذیری‌ها است. این برنامه با Docker Hub، Docker Registry، Google Container Registry یکپارچه می‌شود و به کاربران اجازه می‌دهد تا به سادگی تصاویر را بارگیری، بارگذاری و پویش کنند.
این مسأله که با شناسه‌ی CVE-2019-16097 ردیابی می‌شود، یک آسیب‌پذیری افزایش امتیاز از راه دور است که ممکن است موجب شود که مهاجمان، Harbor آسیب‌پذیر را به‌طور کامل در معرض خطر قرار دهند.
هفته‌ی گذشته، Palo Alto Networks اعلام کرد که بیش از ۱۳۰۰ رجیستری Harbor با تنظیمات پیش‌فرض را در اینترنت کشف کرده است که به این معنا است که همه‌ی آن‌ها تحت تأثیر این آسیب‌پذیری قرار گرفته‌اند.
مهاجمان با بهره‌برداری از این اشکال، می‌توانند پروژه‌های خصوصی را بارگیری کنند، تصاویر موجود در رجیستری را حذف کنند و یا آن‌ها را با تصاویر آلوده جایگزین کنند.
VMware در مشاوره‌نامه‌ی خود تشریح می‌کند که این آسیب‌پذیری امنیتی در واسط برنامه‌نویسی POST /api/users مربوط به Harbor وجود دارد. این آسیب‌پذیری با امتیاز ۹٫۸ در سیستم نمره‌دهی CVSSv3 و شدت بحرانی، به یک عامل مخرب با دسترسی شبکه به واسط برنامه‌نویسی POST /api/users مربوط به Harbor اجازه می‌دهد تا یک حساب مدیریتی جدید را به‌طور خودکار رجیستر کنند. VMware تشریح می‌کند که بهره‌برداری موفقیت‌آمیز از این مسأله ممکن است موجب شود که Harbor به‌طور کامل در معرض خطر قرار گیرد.
VMware وصله‌هایی برای رفع این آسیب‌پذیری در VMware Harbor Container Registery مربوط به PCF (نسخه‌های ۱٫۸٫۳ و ۱٫۷٫۶) منتشر کرده است، اما هنوز آن را در VMware Cloud Foundation رفع نکرده است. راه‌حلی که برای مقابله با این آسیب‌پذیری وجود دارد این است که کاربران رجیستر خودکار را غیرفعال کنند.
