PT-2021-11960 · Unknown · Jupyterhub

Jhespeter · Publicado 2021-01-13 · Atualizado 2024-03-06 · CVE-2020-36191

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.7

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

JupyterHub versão 1.1.0

Descrição:

A vulnerabilidade permite ataques CSRF no painel de administração por meio de uma solicitação que não inclua o campo xsrf. Isso pode ser demonstrado por uma solicitação “/hub/api/user”, que pode ser usada para adicionar ou remover uma conta de usuário.

Recomendações:

Para o JupyterHub versão 1.1.0, considere desativar o endpoint /hub/api/user até que uma correção esteja disponível para impedir a exploração. Como solução temporária, certifique-se de que todas as solicitações ao painel de administração incluam um campo xsrf válido para mitigar o risco de ataques CSRF.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

BIT-JUPYTERHUB-2020-36191

CVE-2020-36191

GHSA-7XX3-QP5W-FW96

PYSEC-2021-67

Produtos afetados

Jupyterhub

Referências · 17

• 🔥 https://github.com/jupyterhub/jupyterhub/issues/3304 · Exploit
• https://github.com/jupyterhub/jupyterhub · Nota
• https://github.com/jupyterhub/jupyterhub/releases · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/jupyterhub/PYSEC-2021-67.yaml · Nota
• https://security-tracker.debian.org/tracker/CVE-2020-36191 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-36191 · Aviso do Fabricante
• https://github.com/advisories/GHSA-7xx3-qp5w-fw96 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-36191 · Aviso do Fabricante
• https://t.me/cvenotify/8463 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-36191 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2021-67 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7xx3-qp5w-fw96 · Aviso do Fabricante
• https://t.me/cibsecurity/22071 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-36191 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-36191 · Nota de Segurança