Harbor · Harbor · CVE-2024-22278
**Nome do software vulnerável e versões afetadas**
Versões do Harbor anteriores à 2.9.5
Versões do Harbor anteriores à 2.10.3
**Descrição**
O problema decorre de uma validação incorreta das permissões do usuário, permitindo que usuários autenticados com a função de mantenedor modifiquem as configurações. Isso pode ser explorado por meio de chamadas de API, como PUT /projects/{project name or id}/metadatas/{meta name}, POST /projects/{project name or id}/metadatas/{meta name} e DELETE /projects/{project name or id}/metadatas/{meta name}. A função de mantenedor, destinada a indivíduos que dão suporte aos administradores de projeto, pode utilizar a API de metadados para contornar as limitações de gerenciamento de configuração. No entanto, o invasor deve estar autenticado e ter recebido uma função específica de mantenedor de projeto, limitando seu escopo a esse projeto.
**Recomendações**
Para versões do Harbor anteriores à 2.9.5, atualize para a versão 2.9.5 ou posterior.
Para versões do Harbor anteriores à 2.10.3, atualize para a versão 2.10.3 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à API de metadados para usuários com a função de mantenedor até que um patch esteja disponível.