Podatności NetBox Device Type Library

NetBox Device Type Library w dotkniętych rewizjach repozytorium zawiera stałą NETBOX_DT_LIBRARY_URL w tests/test_configuration.py, która jest swobodnie modyfikowalna przez nieuwierzytelnionego autora pull requesta przed uruchomieniem testów walidacyjnych. Podczas zbierania pytest, tests/definitions_test.py przekazuje tę wartość do Repo.clone_from i create_remote("upstream").fetch(), co powoduje ślepe żądania Git smart-HTTP do wybranego przez atakującego hosta lub ładowanie kontrolowanych przez atakującego plików tests/known-*.json jako pamięci podręcznej walidacji. Ślepe żądanie nie może ustawić dowolnych nagłówków usługi metadanych ani zwrócić treści odpowiedzi, a ta ścieżka nie wykonuje zdalnych hooków Git, ale podstawione znane dane mogą ominąć walidację unikalności slug, modułu i szafy. Podatność naprawiono w commicie 8980c690097e92f5028c7e6df402b327d827ecd5.

NetBox Device Type Library, zbiór definicji typów urządzeń do importu do NetBox, posiada podatność wynikającą z braku tests/init.py i braku --import-mode=importlib, co powoduje umieszczenie katalogu tests na początku sys.path podczas zbierania testów przez pytest. Nieuwierzytelniony współtwórca może dodać moduł taki jak tests/git.py przesłaniający GitPython lub tests/conftest.py, co prowadzi do wykonania dowolnego kodu na runnerze GitHub Actions.

Biblioteka NetBox Device Type Library zawiera podatność deserializacji w narzędziu testowym, które ładuje pliki pickle kontrolowane przez autora pull requesta. Nieuwierzytelniony współtwórca może dostarczyć spreparowany plik pickle, co prowadzi do wykonania dowolnego kodu podczas uruchamiania testów pytest w GitHub Actions lub w procesie opiekuna projektu.