PT-2021-23211 · Unknown · Jupyterhub+1

Fritterhoff · Publicado 2021-11-04 · Atualizado 2024-03-06 · CVE-2021-41247

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do JupyterHub anteriores à 1.5

Descrição

O problema afeta usuários do JupyterLab com o JupyterHub que tenham várias abas do JupyterLab abertas na mesma sessão do navegador. Ao fazer o logout, novas credenciais para o servidor de usuário único são restabelecidas se houver outra sessão ativa do JupyterLab aberta, resultando em um logout incompleto.

Recomendações

Para versões anteriores à 1.5, atualize para o JupyterHub 1.5.

Para implantações distribuídas, aplique o patch no jupyterhub no ambiente user .

Como solução alternativa temporária, certifique-se de que apenas uma guia do JupyterLab esteja aberta ao fazer o logout.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

BIT-JUPYTERHUB-2021-41247

CVE-2021-41247

GHSA-CW7P-Q79F-M2V7

PYSEC-2021-386

Produtos afetados

Jupyterhub

Jupyterlab

Referências · 12

• https://github.com/jupyterhub/jupyterhub · Nota
• https://github.com/jupyterhub/jupyterhub/commit/5ac9e7f73a6e1020ffddc40321fc53336829fe27 · Correção
• https://github.com/jupyterhub/jupyterhub/security/advisories/GHSA-cw7p-q79f-m2v7 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/jupyterhub/PYSEC-2021-386.yaml · Nota
• https://osv.dev/vulnerability/CVE-2021-41247 · Aviso do Fabricante
• https://t.me/cibsecurity/31846 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-41247 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-386 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41247 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cw7p-q79f-m2v7 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-jupyterhub-2021-41247 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-41247 · Aviso do Fabricante