CVE-2026-68746

livebook-dev livebook proqramındakı Təhlükəsiz Şəkildə Xətaya Uğramama ("Failing Open") zəifliyi, autentifikasiya olunmamış şəbəkə müştərisinə Livebook Teams vasitəsilə kimlik təsdiqləməni tətbiq edən Livebook serverinə tam giriş əldə etməyə imkan verir. Livebook Teams-ə qoşulmuş Livebook Agent və ya App Server aid olduğu yerləşdirmə qrupunun identifikatorunu keşləyir və Teams kimlik təsdiqləməsinin aktiv olub-olmadığını müəyyən etmək üçün hər sorğu zamanı həmin identifikatoru lokal keşlənmiş yerləşdirmə qrupları siyahısı ilə müqayisə edir. `lib/livebook/hubs/team_client.ex` faylındakı `Livebook.Hubs.TeamClient.handle_call/3` funksiyası, həll edilə bilməyən yerləşdirmə qrupu ilə kimlik təsdiqləməsi söndürülmüş halda həll edilmiş qrup arasındakı fərqi ayırmır: bənd yalnız təsdiqləmənin aktiv olduğu tapılmış qrupa uyğun gəlir və digər bütün hallar üçün təsdiqləmənin söndürüldüyünü bildirən ümumi tutucuya (catch-all) yönəlir. İstifadəçi və tətbiq girişini müəyyən edən iki qonşu funksiya eyni identifikatoru həll edir və eyni həll olunmamış nəticəni girişin rədd edilməsi kimi qiymətləndirir. Kimlik statusu söndürülmüş kimi bildirildikdə, `lib/livebook/zta/livebook_teams.ex` faylındakı `Livebook.ZTA.LivebookTeams.authenticate/3` funksiyası boş kimlik metaməlumatlarını qaytarır və sorğunu dayandırmaq əvəzinə davam etməsinə icazə verir. `LivebookWeb.UserPlug.build_current_user/3` həmin boş metaməlumatları yeni yaradılmış istifadəçiyə əlavə edir, bu istifadəçinin giriş növü standart olaraq tam giriş (full access) olur və `LivebookWeb.AuthPlug.authorized?/1` tam girişi olan hər hansı bir istifadəçiyə icazə verir. Keşlənmiş identifikator, agent dəyişikliyi qəbul etmək üçün qoşulu olmadıqda, onun istinad etdiyi yerləşdirmə qrupu silindikdə (konkret olaraq, agentin bağlantısının kəsildiyi və ya yenidən qoşulduğu zaman kənar qrup silindikdə) həll edilə bilməz hala gəlir. Müştəri, ona istinad edən identifikatoru təmizləmədən qrupu keşlənmiş siyahısından çıxarır. Beləliklə, təsirlənmiş serverə şəbəkə üzərindən çata bilən hər hansı bir müştəriyə təşkilatın tam səlahiyyətli üzvünə verilən hüquqlar verilir ki, buna notebook-ları və konfiqurasiya edilmiş gizli məlumatları oxumaq, serverin runtime mühitində kod icra etmək və onun işini pozmaq daxildir. Bu problem livebook versiyaları üçün aktualdır: 0.19.7-dən başlayaraq 0.19.9 versiyasına qədər.