PT-2024-19824 · Nautobot · Nautobot

Kircheneer · Publicado 2024-01-22 · Atualizado 2024-01-29 · CVE-2024-23345

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do Nautobot anteriores à 1.6.10

Versões do Nautobot anteriores à 2.1.2

Descrição

O Nautobot é uma fonte de verdade de rede e uma plataforma de automação de rede desenvolvida como um aplicativo web. Devido à sanitização inadequada de entradas, quaisquer campos editáveis pelo usuário que suportem renderização Markdown são potencialmente suscetíveis a ataques de cross-site scripting (XSS) por meio de dados criados de forma maliciosa. Os campos afetados incluem Circuit.comments, Cluster.comments, CustomField.description, Device.comments, DeviceRedundancyGroup.comments, DeviceType.comments, Job.description, JobLogEntry.message, Location.comments, Note.note, PowerFeed.comments, Provider. noc contact, Provider.admin contact, Provider.comments, ProviderNetwork.comments, Rack.comments, Tenant.comments, VirtualMachine.comments, o conteúdo de quaisquer campos personalizados do tipo markdown, os atributos description da classe de tarefa e a configuração do sistema SUPPORT MESSAGE.

Recomendações

Para versões do Nautobot anteriores à 1.6.10, atualize para a versão 1.6.10 ou posterior para resolver o problema.

Para versões do Nautobot anteriores à 2.1.2, atualize para a versão 2.1.2 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso a campos editáveis pelo usuário que suportem renderização Markdown até que um patch seja aplicado.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-23345

GHSA-V4XV-795H-RV4H

PYSEC-2024-16

Produtos afetados

Nautobot

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23345.json · Exploit
• https://github.com/nautobot/nautobot · Nota
• https://github.com/nautobot/nautobot/commit/17effcbe84a72150c82b138565c311bbee357e80 · Correção
• https://github.com/nautobot/nautobot/commit/64312a4297b5ca49b6cdedf477e41e8e4fd61cce · Correção
• https://github.com/nautobot/nautobot/pull/5133 · Correção
• https://github.com/nautobot/nautobot/pull/5134 · Correção
• https://github.com/nautobot/nautobot/security/advisories/GHSA-v4xv-795h-rv4h · Aviso do Fabricante
• https://github.com/pypa/advisory-database/tree/main/vulns/nautobot/PYSEC-2024-16.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2024-16 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23345 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-v4xv-795h-rv4h · Aviso do Fabricante
• https://t.me/cvenotify/68269 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1749607236484083792 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1749574551799755219 · Publicação no Twitter
• https://t.me/cvenotify/68324 · Publicação no Telegram