🇰🇷 한글 설명
Netbox v3.5.1 버전에서 인증되지 않은 공격자가 GraphQL 데이터베이스에 쿼리를 실행하여 민감한 데이터에 접근할 수 있는 취약점이 발견되었습니다. 다만, 벤더 측은 API 스키마 조회와 같은 공개된 정보에 대한 쿼리만 가능했을 것이라며 해당 취약점의 위험성에 대해 이견을 보이고 있습니다.
💡 쉬운 설명
해커가 로그인하지 않고도 Netbox의 데이터베이스에 질문을 던져 정보를 빼낼 수 있는 문제입니다. 다만, 실제 중요한 데이터보다는 시스템의 구조를 파악하는 데 주로 사용될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in Netbox v3.5.1 allows unauthenticated attackers to execute queries against the GraphQL database, granting them access to sensitive data stored in the database. NOTE: the vendor disputes this because the reporter's only query was for the schema of the API, which is public; queries for database objects would have been denied.
⚔️ 공격 벡터
인증되지 않은 사용자가 GraphQL API를 통해 악의적인 쿼리를 전송
🛡️ 대응 방법
Netbox를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 Version 항목이 3.5.1인지 확인하여 취약 여부를 판단합니다.
pip show netbox 2>/dev/null | grep -E 'Version'