Podatności JupyterHub

JupyterHub do wersji 6.0.1 zawiera podatność kolizji identyfikatorów, która pozwala uwierzytelnionym użytkownikom na nadpisanie klienta OAuth nazwanego serwera innego użytkownika poprzez rejestrację nazwy użytkownika z łącznikiem. Atakujący posiadający nazwę taką jak alice-prod mogą nadpisać klienta dla serwera alice o nazwie prod, co łamie logowanie OAuth i odwołuje tokeny poprzez zatrzymanie własnego serwera.

JupyterHub przed wersją 5.5.0 ma podatność, w której nieprawidłowe dane wejściowe do logowania opartego na formularzu mogą umieścić nieograniczoną nazwę użytkownika kontrolowaną przez atakującego w logach nieudanych logowań, co pozwala nieuwierzytelnionemu atakującemu na zużywanie zasobów logowania i przechowywania.

JupyterHub w wersjach 4.1.0 do 5.4.4 nieprawidłowo traktował żądania z Sec-Fetch-Mode: no-cors jako żądania samego pochodzenia, omijając ochronę XSRF. Dotyczy to tylko formularzy HTTP, takich jak /hub/spawn i /hub/accept-share, co pozwala atakującym na uruchomienie serwera (ale nie dostęp do niego) oraz, jeśli atakujący jest użytkownikiem JupyterHub z uprawnieniami do udostępniania, na zmuszenie ofiary do zaakceptowania udostępnienia i uzyskania dostępu do serwera atakującego.

JupyterHub przed wersją 5.4.4 zawiera podatność na otwarte przekierowanie, która pozwala atakującym konstruować linki, które po kliknięciu kierują użytkownika do strony logowania JupyterHub, a następnie do dowolnej strony kontrolowanej przez atakującego, omijając mechanizm zabezpieczający JupyterHub.