CVE-2023-50263

Nautobot, Django Python çatısı üzerine PostgreSQL veya MySQL veritabanı ile inşa edilmiş bir web uygulaması olarak geliştirilen bir Ağ Doğruluk Kaynağı ve Ağ Otomasyon Platformu'dur. Nautobot 1.x ve 2.0.x sürümlerinde 1.6.7 ve 2.0.6 öncesinde, `/files/get/?name=...` ve `/files/download/?name=...` URL'leri, FileVar girdileri olan bir Job için çalıştırma isteğinin parçası olarak yüklenen dosyalara yönetici erişimi sağlamak için kullanılır. Normal çalışma koşullarında bu dosyalar geçicidir ve söz konusu Job çalıştırıldıktan sonra silinir. `django-db-file-storage` tarafından sağlanan ve Nautobot'da kullanılan varsayılan uygulamada, bu URL'ler varsayılan olarak erişim için herhangi bir kullanıcı kimlik doğrulaması gerektirmez; bunun yerine yalnızca Nautobot'un `FileProxy` model örneklerini görüntüleme iznine sahip kullanıcılarla sınırlandırılmalıdır. Mevcut dosya `name` değerlerini listeleme veya gezinme için herhangi bir URL mekanizması sağlanmadığını unutmayın; bu nedenle pratikte kimliği doğrulanmamış bir kullanıcının indirme için rastgele dosyaları keşfetmek üzere adları tahmin etmesi gerekir, ancak bir kullanıcı dosya adı/yol değerini biliyorsa kimlik doğrulaması yapmadan erişebilir, bu nedenle bunu bir güvenlik açığı olarak değerlendiriyoruz. Düzeltmeler Nautobot 1.6.7 ve Nautobot 2.0.6 sürümlerine dahil edilmiştir. Bu sürümlerdeki yamaları uygulamak dışında bilinen bir geçici çözüm yoktur.