CVE-2026-40934
Təsvir
Jupyter Server, Jupyter veb tətbiqləri üçün backend-dir. 2.17.0 və daha öncəki versiyalarda autentifikasiya kukilərini imzalamaq üçün istifadə olunan gizli açar ~/.local/share/jupyter/runtime/jupyter_cookie_secret ünvanındakı statik faylda saxlanılır və istifadəçi şifrəsini dəyişdikdə heç vaxt yenilənmir. Şifrənin sıfırlanmasından və serverin yenidən başladılmasından sonra, imzalama açarı dəyişmədiyi üçün əvvəllər verilmiş hər hansı autentifikasiya kukisi kriptoqrafik cəhətdən etibarlı qalır. Sessiya kukisini hər hansı bir vasitə ilə ələ keçirmiş hücumçu, sonrakı şifrə dəyişikliklərindən asılı olmayaraq serverə tam autentifikasiya olunmuş giriş imkanını saxlayır. Bu problem şifrə əsaslı autentifikasiyadan istifadə edən tətbiqlərə, xüsusilə də etibarnamələrin rotasiyasının mövcud sessiyaları ləğv etməsinin gözlənilməsi kimi ortaq və ya kənara açıq serverlərə təsir göstərir. Bu problem 2.18.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- jupyter jupyter_server2.18.0 və ya daha yeni versiya
- jupyter-server2.18.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jupyter jupyter_server | v < 2.18.0 | 2.18.0 |
| jupyter-serverPyPI | v < 2.18.0 | 2.18.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.