PT-2021-4499 · Binderhub · Binderhub

Jose Carlos Luna Duran + 1 · Publicado 2021-08-25 · Atualizado 2022-10-25 · CVE-2021-39159

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do BinderHub anteriores à 0.2.0-n653

Descrição

Foi identificada uma vulnerabilidade de execução remota de código no BinderHub, na qual o fornecimento de entradas maliciosamente criadas ao BinderHub poderia executar código no contexto do BinderHub, com o potencial de extrair credenciais da implantação do BinderHub, incluindo tokens da API do JupyterHub, contas de serviço do Kubernetes e credenciais do registro do Docker. Isso pode permitir a manipulação de imagens e outros pods criados pelo usuário na implantação, com potencial para escalar para o host, dependendo da configuração subjacente do Kubernetes.

Recomendações

Atualize para a versão 0.2.0-n653.

Como solução alternativa temporária, considere desativar o provedor de repositório Git especificando o BinderHub.repo providers.

Correção

OS Command Injection

Code Injection

Enumeração de Fraquezas

CWE-78

CWE-94

Identificadores relacionados

BDU:2021-05133

CVE-2021-39159

GHSA-9JJR-QQFP-PPWX

PYSEC-2021-371

Produtos afetados

Binderhub

Referências · 12

• https://github.com/jupyterhub/binderhub/security/advisories/GHSA-9jjr-qqfp-ppwx · Correção
• https://github.com/jupyterhub/binderhub/commit/195caac172690456dcdc8cc7a6ca50e05abf8182.patch · Correção
• https://github.com/jupyterhub/binderhub · Nota
• https://github.com/jupyterhub/binderhub/commit/195caac172690456dcdc8cc7a6ca50e05abf8182 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/binderhub/PYSEC-2021-371.yaml · Nota
• https://osv.dev/vulnerability/CVE-2021-39159 · Aviso do Fabricante
• https://t.me/cvenotify/20080 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-39159 · Nota de Segurança
• https://t.me/cvenotify/20501 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-9jjr-qqfp-ppwx · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-371 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-05133 · Nota de Segurança