CVE-2023-25657

Nautobot Şəbəkə Həqiqət Mənbəyi və Şəbəkə Avtomatlaşdırılması platformasıdır. Nautobot-un 1.5.7 versiyasından əvvəlki bütün istifadəçiləri uzaqdan kodun icrası zəifliyindən təsirlənir. Nautobot Jinja2 şablonlarının render edilməsini düzgün şəkildə sandbox daxilinə almamışdı. Nautobot 1.5.7 versiyasında aşağıdakı obyektlər üçün şablon renderində daxili istifadə olunan Jinja2 şablon mühərriki üçün sandbox mühitləri aktiv edilib: `extras.ComputedField`, `extras.CustomLink`, `extras.ExportTemplate`, `extras.Secret`, `extras.Webhook`. Bu zəifliyin heç bir aktiv eksploytu məlum olmasa da, bu dəyişiklik bədniyyətli şəkildə hazırlanmış şablon kodu vasitəsilə hər hansı potensial uzaqdan kodun icrası hücumlarından qorunmaq üçün preventiv tədbir kimi həyata keçirilmişdir. Bu dəyişiklik Nautobot-un bütün yeni quraşdırmalarında Jinja2 şablon mühərrikini `SandboxedEnvironment`-dən istifadə etməyə məcbur edir. Bu, `nautobot.utilities.utils.render_jinja2` köməkçi funksiyasının çağırıldığı hər yerdə hər hansı potensial təhlükəsiz olmayan kodun icrasını aradan qaldırır. Əlavə olaraq, əvvəllər `jinja2.Template`-dən birbaşa istifadəni tövsiyə edən sənədlər `render_jinja2` istifadəsinə dair yenilənmişdir. İstifadəçilərə Nautobot 1.5.7 və ya daha yeni versiyaya yüksəltmə etmeleri tövsiyə olunur. Nautobot-un ən son versiyasına yüksəltmə edə bilməyən istifadəçilər, sandbox mühiti məcburiyyətini tətbiq etmək üçün `nautobot_config.py` faylına aşağıdakı parametrləri əlavə edə bilərlər: `TEMPLATES[1]["OPTIONS"]["environment"] = "jinja2.sandbox.SandboxedEnvironment"`. Bu dəyişikliyi tətbiq etdikdən sonra, o cümlədən bütün Celery işçi prosesləri daxil olmaqla, bütün Nautobot xidmətlərini yenidən başlatmalısınız. **Qeyd:** *Nautobot standart olaraq iki şablon mühərriki təyin edir: birincisi Django-nun daxili şablon mühərriki üçün “django”, ikincisi isə Jinja2 şablon mühərriki üçün “jinja”-dır. Bu tövsiyə olunan parametr şablon mühərrikləri siyahısındakı ikinci elementi, yəni Jinja2 mühərrikini yeniləyəcəkdir.* Konfiqurasiyasını dərhal yeniləyə bilməyən istifadəçilər üçün (məsələn, Nautobot xidmətinin yenidən başladılmasının əməliyyatlara çox mane olduğu hallarda), fərdi Jinja2 şablon dəyərlərini təmin etmək imkanı, birinci bölmədə sadalanan təsirlənən obyekt növləri üçün “dəyişdirmə” (yazma) əməliyyatlarını məhdudlaşdıran icazələrdən istifadə etməklə azaldıla bilər. **Qeyd:** *Bu həll yolu, siz `nautobot_config.py` faylını uğurla yeniləyənə və ya sandbox mühiti məcburiyyətini tətbiq etmək üçün Nautobot instansiyanızı yüksəldənə qədər müvəqqəti tədbir kimi nəzərdə tutulmuşdur.*