CVE-2026-44182
Təsvir
Jupyter Enterprise Gateway, Apache Spark, Kubernetes və Docker Swarm kimi paylanmış klasterlərdə uzaq Jupyter Notebook nüvələrini (kernels) işə salır. 3.3.0 versiyasından əvvəlki versiyalarda server, etibarsız mühit dəyişənlərini (məsələn, KERNEL_XXX) YAML-fərqləndirməni (escaping) tətbiq etmədən Kubernetes manifestlərinə daxil edir ki, bu da YAML inyeksiyası hücumlarına şərait yaradır. Hücumçular yeni sahələr əlavə edə, kritik sahələri yenidən yaza (məsələn, sonuncunun üstünlük təşkil etdiyi dublikat securityContext açarları) və çox sayda resurs yaratmaq üçün sənəd sərhədləri (yeni sənədlər üçün ---, sənədin sonu üçün ...) daxil edərək imtiyazlı podlar kimi istənilən tipli resurslar yarada bilərlər. Kubernetes manifesti üçün olan Jinja2 şablonu, manifest render edilərkən istifadə olunan və hamısı YAML inyeksiyası üçün vektor rolunu oynayan kernel_working_dir kimi bir neçə kernel_xxx dəyişənlərini ehtiva edir. Bu problem 3.3.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- jupyter enterprise_gateway3.3.0 və ya daha yeni versiya
- jupyter-enterprise-gateway3.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jupyter enterprise_gateway | v < 3.3.0 | 3.3.0 |
| jupyter-enterprise-gatewayPyPI | v < 3.3.0 | 3.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.