github.com/goharbor/harbor にオープンリダイレクト(CVE-2024-22244)

概要

github.com/goharbor/harbor に脆弱性 (CVE-2024-22244) が存在。不正な操作・情報露出のリスクがあります。対策: 2.10.1 以上に更新。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Description

Under OIDC authentication mode, there is a redirect_url parameter exposed in the URL which is used to redirect the current user to the defined location after the successful OIDC login, This redirect_url can be an ambiguous URL and can be used to embed a phishing URL.
For example: if a user clicks the URL with a malicious redirect_url:

https:///c/oidc/login?redirect_url=https://

It might redirect the current user without their knowledge to a malicious site, posing a potential risk.
To avoid this issue, the redirect_url should be checked if it is a local path when reading it from the original request URL.

//src/core/controllers/oidc.go
...
redirectURL := oc.Ctx.Request.URL.Query().Get("redirect_url")
if !utils.IsLocalPath(redirectURL) {
    log.Errorf("invalid redirect url: %v", redirectURL)
    oc.SendBadRequestError(fmt.Errorf("cannot redirect to other site"))
    return
}
if err := oc.SetSession(redirectURLKey, redirectURL); err != nil {
...

Impact

When Harbor is configured with OIDC authentication and users log in via a link outside the Harbor server, it might be vulnerable to an open redirect attack. This attack only involves the OIDC Harbor user, if the current Harbor instance is not configured with OIDC auth, the redirect_url doesn't exist and the Harbor instance is not vulnerable to the open redirect attack.

The following versions of Harbor are involved:
<=Harbor 2.8.4, <=Harbor 2.9.2, <= Harbor 2.10.0

Patches

Harbor 2.8.5, Har…

出典: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

自動生成の要約

取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。

github.com/goharbor/harbor という製品で、CVE-2024-22244 という番号がついた弱点 (脆弱性) が見つかりました。
不正な操作・情報露出のリスクがあります。
対策: github.com/goharbor/harbor を 2.10.1 以上に更新してください。
心配なら、システム担当者や製品の公式サイトで「github.com/goharbor/harbor CVE-2024-22244」を検索してください。

CVE-2024-22244 (github.com/goharbor/harbor) — CWE-601
攻撃ベクター: ネットワーク経由 (リモート攻撃可) / 認証不要
修正バージョン: 2.10.1 (即時適用推奨)
暫定回避: When the Harbor is configured with OIDC authentication, warn the user not to log into the Harbor through external links.
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。

❓ 何が問題か

github.com/goharbor/harbor に 脆弱性 (CWE-601) があります。

📍 影響範囲

github.com/goharbor/harbor の影響バージョンはベンダーのアドバイザリで確認してください。

🔥 重要度

重要度: ?。不正な操作・情報露出のリスクがあります。

🔧 修正方法

2.10.1 に更新してください。

🛡️ 暫定回避

暫定回避: When the Harbor is configured with OIDC authentication, warn the user not to log into the Harbor through external links.

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
grep -r 'github.com/goharbor/harbor' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で github.com/goharbor/harbor を grep し、稼働しているサービス・バージョンを把握する。
2
暫定回避策の適用 mitigate
```
When the Harbor is configured with OIDC authentication, warn the user not to log into the Harbor through external links.
```
パッチが適用されるまでの応急処置として、When the Harbor is configured with OIDC authentication, warn the user not to log into the Harbor through external links. を実施。回避策の副作用 (機能低下) を確認した上で。
3
パッチ適用 patch
```
Upgrade github.com/goharbor/harbor to 2.10.1
```
ステージング環境で 2.10.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
4
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

影響パッケージ

Go github.com/goharbor/harbor

[{"type":"SEMVER","events":[{"introduced":"2.10.0"},{"fixed":"2.10.1"}]}]

参照URL

advisory nvd.nist.gov
package github.com
web github.com
web pkg.go.dev