Nautobot 允许未经身份验证的数据库文件存储视图 (CVE-2023-50263)
CVE编号
CVE-2023-50263利用情况
暂无补丁情况
N/A披露时间
2023-12-13漏洞描述
Nautobot是一个基于Django Python框架和PostgreSQL或MySQL数据库构建的网络真实性和网络自动化平台。在Nautobot 1.x和2.0.x的1.6.7之前的版本中，使用`/files/get/?name=...`和`/files/download/?name=...`URL提供对已作为作业的一部分上传的文件的管理员访问权限。在正常操作中，这些文件是临时的，并且一旦运行相关作业，它们就会被删除。在Nautobot的默认实现中，由`django-db-file-storage`提供，这些URL默认情况下不需要任何用户身份验证进行访问；相反，它们应该仅限于具有查看Nautobot的`FileProxy`模型实例权限的用户。请注意，没有提供列举或遍历可用文件`name`值的URL机制，因此在实践中，未经身份验证的用户必须猜测名称才能发现任意文件进行下载，但是如果用户知道文件名称/路径值，他们可以在未经身份验证的情况下访问它，因此我们将其视为一种漏洞。Nautobot 1.6.7和Nautobot 2.0.6中包含了修复措施。除了应用这些版本中包含的补丁之外，没有已知的解决方法。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 低
- 完整性 无
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论