🇰🇷 한글 설명
Nautobot의 REST API에서 GenericForeignKey를 통한 객체 간 참조 시 사용자 '조회' 권한을 제대로 검증하지 못하는 취약점이 발견되었습니다. 이로 인해 권한이 없는 사용자가 특정 객체에 대한 참조를 생성하거나 업데이트할 수 있습니다. 해당 문제는 2.4.33 및 3.1.2 버전에서 수정되었습니다.
💡 쉬운 설명
데이터를 연결할 때 해당 데이터를 볼 권한이 있는지 확인하는 과정이 빠져 있는 보안 결함입니다. 이로 인해 권한이 낮은 사용자가 허가되지 않은 정보를 연결하여 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
Nautobot is a Network Source of Truth and Network Automation Platform. Prior to 2.4.33 and 3.1.2, in the case of inter-object references via GenericForeignKey (a pattern allowing an object to reference another object that may belong to one of several different "content types" or database tables), when creating or updating an object containing a GenericForeignKey, Nautobot's REST API failed to enforce user "view" permissions when determining whether a given reference to another object would be valid. This vulnerability is fixed in 2.4.33 and 3.1.2.
📍 영향받는 시스템
Nautobot 2.4.33 미만 및 3.1.2 미만 버전
⚔️ 공격 벡터
REST API를 사용하여 GenericForeignKey를 포함하는 객체를 생성하거나 업데이트할 때 권한 검증 우회
🛡️ 대응 방법
Nautobot을 2.4.33 또는 3.1.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.4.33 또는 3.1.2 이상인지 확인하십시오.
python3 -c "import nautobot; print(nautobot.__version__)" 2>/dev/null || echo 'Nautobot not installed'