🇰🇷 한글 설명
Nautobot 2.0.x 버전의 특정 REST API 엔드포인트에서 `?depth=<N>` 쿼리 매개변수를 사용할 경우, 인증된 사용자가 데이터베이스에 저장된 사용자의 해시된 비밀번호를 노출시킬 수 있는 취약점입니다. 비밀번호가 평문으로 노출되지는 않지만, 해시된 값이 유출될 위험이 있습니다. 이 문제는 2.0.3 버전에서 패치되었습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 특정 주소를 이용해 다른 사용자의 암호화된 비밀번호 정보를 몰래 볼 수 있는 문제입니다. 암호 자체가 그대로 보이는 것은 아니지만, 해커가 이를 이용해 암호를 알아내려고 시도할 수 있습니다.
🇺🇸 원문 (English)
Nautobot is a Network Automation Platform built as a web application atop the Django Python framework with a PostgreSQL or MySQL database. In Nautobot 2.0.x, certain REST API endpoints, in combination with the `?depth=<N>` query parameter, can expose hashed user passwords as stored in the database to any authenticated user with access to these endpoints. The passwords are not exposed in plaintext. This vulnerability has been patched in version 2.0.3.
📍 영향받는 시스템
Nautobot 2.0.x 버전
⚔️ 공격 벡터
인증된 사용자가 특정 REST API 엔드포인트에 `?depth=<N>` 매개변수를 포함하여 요청을 보냄
🛡️ 대응 방법
Nautobot을 2.0.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.0.3 미만인 경우 해당 취약점에 노출되어 있습니다.
python3 -c 'import nautobot; print(nautobot.__version__)' 2>/dev/null || echo 'Nautobot not installed'