PT-2025-7886 · Unknown · Jupyterhub Oauthenticator

Consideratio · Publicado 2025-02-25 · Atualizado 2025-03-03 · CVE-2023-25574

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas jupyterhub-ltiauthenticator versões 1.3.0 até 1.3.x

Descrição O problema diz respeito ao LTI13Authenticator no jupyterhub-ltiauthenticator, que não validava assinaturas JWT, potencialmente permitindo que requisições forjadas fossem autorizadas. Isso afeta instalações do JupyterHub configuradas para usar a classe LTI13Authenticator.

Recomendações Para as versões 1.3.0 até 1.3.x, atualize para a versão 1.4.0, que remove o LTI13Authenticator para corrigir o problema. Como solução temporária, considere desativar a classe LTI13Authenticator até que o problema seja resolvido.

Exploit

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

BDU:2026-00153

CVE-2023-25574

GHSA-MCGX-2GCR-P3HP

PYSEC-2025-120

Produtos afetados

Jupyterhub Oauthenticator

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2023/25xxx/CVE-2023-25574.json · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/jupyterhub-ltiauthenticator/PYSEC-2025-120.yaml · Nota
• https://github.com/jupyterhub/ltiauthenticator/security/advisories/GHSA-mcgx-2gcr-p3hp · Aviso do Fabricante
• https://github.com/jupyterhub/ltiauthenticator/blob/3feec2e81b9d3b0ad6b58ab4226af640833039f3/ltiauthenticator/lti13/validator.py#L122-L164 · Nota
• https://github.com/jupyterhub/ltiauthenticator/blob/main/CHANGELOG.md#140---2023-03-01 · Nota
• https://github.com/jupyterhub/ltiauthenticator · Nota
• https://twitter.com/DarkWebInformer/status/1894409164467605965 · Publicação no Twitter
• https://twitter.com/syedaquib77/status/1894449056933711940 · Publicação no Twitter
• https://t.me/thedarkwebinformer/13294 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2026-00153 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2025-120 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mcgx-2gcr-p3hp · Aviso do Fabricante
• https://twitter.com/taqtics_ai/status/1896518284226302233 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1894402898479505776 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1894399637303300391 · Publicação no Twitter