PT-2025-4845 · Nbgrader+1 · Nbgrader+1
Publicado
2025-01-17
·
Atualizado
2025-01-17
·
CVE-2025-23205
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do nbgrader anteriores a 0.9.5
Descrição
O problema permite que qualquer usuário do JupyterHub extraia conteúdo do formgrader enviando links maliciosos para usuários com acesso ao formgrader, pelo menos ao utilizar a configuração padrão do JupyterHub de
enable subdomains = False. Isso é possível porque habilitar frame-ancestors: 'self' concede acesso ao conteúdo da página servida pelo formgrader utilizando as credenciais da vítima. Se um usuário, por exemplo, Alice, criar uma página incorporando o formgrader em um IFrame e outro usuário, Bob, visitar essa página, as credenciais dele serão enviadas e a página do formgrader carregada, permitindo que a página de Alice tenha acesso total ao conteúdo da página servida pelo formgrader.Recomendações
Para versões anteriores a 0.9.5, atualize para a versão 0.9.5 para resolver o problema.
Como medida de contorno temporária, considere desabilitar
frame-ancestors: self.
Alternativamente, habilite subdomínios por usuário e por serviço com JupyterHub.enable subdomains = True para impedir que a página hospedeira acesse o conteúdo do frame, mesmo que a incorporação em um IFrame seja permitida.Exploit
Correção
Clickjacking
Exposure of Resource to Wrong Sphere
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jupyterhub
Nbgrader