出典: Security NEXT – https://www.security-next.com/182473
「Harbor」に脆弱性、初期パスワード未変更で不正アクセスの危険性
コンテナイメージの管理や配布に利用されるコンテナレジストリ「Harbor」に、初期設定パスワードを変更しない場合に不正アクセスを許す脆弱性が発見されました。管理者アカウントのデフォルトパスワードが平文でハードコードされていることが原因です。
主要なポイント
- 脆弱性の内容：管理者アカウントの初期パスワードがソースコードに平文で埋め込まれており、変更しないとウェブ管理画面の認証を簡単にバイパスされる恐れがある。
- 影響範囲：「Harbor 2.15.0」およびそれ以前のバージョンが対象で、2017年から指摘されている問題。
- 脆弱性評価：CVSSv3.1のベーススコアは9.4で、最も高い「クリティカル」評価を受けている。
- 対策状況：初期パスワードの削除やインストール時にパスワード設定を必須化する仕様変更が提案されているが、運用者側でも速やかなパスワード変更が必要。
技術的な詳細や背景情報
「Harbor」はコンテナイメージの保存・管理を行うオープンソースのコンテナレジストリで、多くの企業や開発者に利用されています。今回の脆弱性（CVE-2026-4404）は、管理者アカウントのデフォルトパスワードがソースコードに平文でハードコードされている点に起因します。
このため、初回ログイン時にパスワードを変更しないまま運用すると、攻撃者は容易に推測できるパスワードを使って管理画面にアクセスできてしまいます。管理画面への不正アクセスは、コンテナイメージの改ざんや情報漏洩など重大なセキュリティリスクを引き起こします。
CVSS（共通脆弱性評価システム）v3.1におけるスコア9.4は、リモートからの攻撃が容易で影響が大きいことを示し、早急な対応が求められます。
影響や重要性
Harborはクラウドネイティブ環境における重要なインフラの一部であり、脆弱性が悪用されると、企業の開発・運用環境全体に深刻な影響を及ぼす可能性があります。特に、初期パスワードを変更しないまま運用しているケースは多く、攻撃者にとっては格好の侵入口となります。
また、この問題は2017年から指摘されているにも関わらず、未だに十分な対策が徹底されていない点も問題です。ソフトウェアの安全な運用には、初期設定のまま使い続けることの危険性を認識し、適切なパスワード管理を徹底することが不可欠です。
まとめ
「Harbor」の初期パスワードが平文でハードコードされている脆弱性は、管理者がパスワードを変更しない限り重大な不正アクセスリスクをもたらします。CVSSスコア9.4のクリティカルな脆弱性であり、速やかな対策が必要です。
運用者はすぐに初期パスワードの変更を行い、可能であれば最新バージョンへのアップデートや、インストール時にパスワード設定を必須化する仕様変更の適用を検討してください。安全なコンテナ環境の維持には、基本的なセキュリティ対策の徹底が不可欠です。
