CVE-2022-29238

Jupyter Notebook interaktiv hesablamalar üçün veb əsaslı qeyd dəftəri mühitidir. Versiya 6.4.12-dən əvvəl, `ContentsManager.allow_hidden = False` tənzimləməsi ilə notebook serverinə göndərilən autentifikasiya olunmuş sorğular yalnız gizli kataloqların məzmununun siyahılanmasını önləyirdi, lakin fərdi gizli fayllara və ya gizli kataloqlardakı fayllara girişi məhdudlaşdırmırdı (yəni gizli fayllar "gizli" idi, lakin "əlçatmaz" deyildi). Bu, notebook konfiqurasiyalarının, normalda qadağan olunduğu gözlənilən fayllara autentifikasiya olunmuş girişə icazə verməsinə səbəb ola bilərdi. Tam autentifikasiya olunmuş sorğular tələb olunduğu üçün bunun təsiri nisbətən aşağıdır. Lakin, əgər serverin kök kataloqunda yeganə qoruması gizli olması olan həssas fayllar varsa (məsələn, $HOME xidmət göstərildiyi zaman `~/.ssh`), onda hər hansı autentifikasiya olunmuş sorğu, adları təxmin edilə bildiyi təqdirdə bu fayllara daxil ola bilərdi. Belə kontekstlərin serverə tam girişi və buna görə də icra icazələri mütləq şəkildə mövcuddur ki, bu da ümumiyyətlə eyni faylların hamarına girişi təmin edir. Buna görə də, bu hal ümumiyyətlə heç bir imtiyazların yüksəldilməsinə və ya məlumata girişin artmasına səbəb olmur, yalnız fayllara daxil olmaq üçün əlavə, qeyri-iradi bir vasitə yaradır. Versiya 6.4.12 bu problem üçün yamanı ehtiva edir. Hazırda məlum olan alternativ həll yolları yoxdur.