🇰🇷 한글 설명
NetBox 4.7.0 이하 버전에서 REST 및 GraphQL API 응답 시 데이터 소스 백엔드의 민감한 자격 증명이 마스킹되지 않는 취약점이 발견되었습니다. 조회 권한만 가진 인증된 사용자가 API를 통해 Git 및 Amazon S3 백엔드의 평문 비밀번호와 비밀 키를 탈취하여 외부 저장소에 무단 접근할 수 있습니다.
💡 쉬운 설명
NetBox를 사용하는 사람이 권한이 낮더라도 API를 통해 시스템에 연결된 Git이나 AWS의 비밀번호를 몰래 볼 수 있는 문제입니다. 이를 통해 공격자는 회사의 중요한 코드 저장소나 데이터 저장소에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
NetBox through 4.7.0 fails to redact sensitive data source backend credentials in REST and GraphQL API responses. Authenticated users with only view permission can retrieve plaintext passwords and secret keys for Git and Amazon S3 backends through API endpoints, gaining unauthorized access to external repositories and storage buckets.
📍 영향받는 시스템
NetBox 4.7.0 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 REST 또는 GraphQL API 엔드포인트를 호출하여 민감한 정보가 포함된 응답을 수신
🛡️ 대응 방법
NetBox를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.7.0 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://<netbox-url>/api/version/ | grep -E 'version'