🇰🇷 한글 설명
NetBox 4.7.0 이하 버전에서 REST 및 GraphQL API 엔드포인트의 알림, 구독, 북마크 기능이 사용자 개인 기록의 범위를 적절히 제한하지 못하는 취약점이 발견되었습니다. 조회 권한을 가진 인증된 사용자는 범위가 지정되지 않은 쿼리셋을 통해 다른 사용자의 개인 기록에 접근하여 어떤 사용자가 어떤 객체를 모니터링하거나 북마크했는지 확인할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 다른 사용자가 몰래 저장해둔 북마크나 알림 설정을 훔쳐볼 수 있는 보안 결함입니다. 이로 인해 특정 사용자가 어떤 데이터에 관심을 두고 있는지 개인적인 활동 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
NetBox through 4.7.0 fails to properly scope user-private records in REST and GraphQL API endpoints for Notifications, Subscriptions, and Bookmarks. Authenticated users with view permissions can access all users' private records through unscoped querysets, disclosing which users watch or bookmark which objects.
📍 영향받는 시스템
NetBox 4.7.0 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 API(REST/GraphQL)를 통해 권한 밖의 개인화된 데이터 쿼리를 전송하여 접근
🛡️ 대응 방법
NetBox를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.7.0 이하인지 확인하여 취약 여부를 판단합니다.
pip show netbox 2>/dev/null | grep Version