CVE-2024-29033

OAuthenticator, JupyterHub için yaygın OAuth sağlayıcılarını kullanmaya yönelik eklentilerin yanı sıra herhangi bir OAuth 2.0 sağlayıcısı ile kendi Authenticator'larını yazmak için temel sınıflar sağlar. `GoogleOAuthenticator.hosted_domain`, hangi Google hesaplarının JupyterHub'a yetkili erişim sağlayabileceğini kısıtlamak için kullanılır. Kısıtlamanın amacı, belirtilen alan adını veya alan adlarını kontrol ettiği doğrulanmış bir veya daha fazla Google kuruluşunun parçası olan Google hesapları ile sınırlandırılmasıdır. Versiyon 16.3.0 öncesinde, gerçek kısıtlama yalnızca e-postaları ilgili alan adı ile biten Google hesaplarına uygulanmaktaydı. Bu tür hesaplar, bir zamanlar alan adına bağlı bir e-postayı okuyabilmiş herhangi biri tarafından oluşturulmuş olabilir. Bu durum, Dylan Ayrey (@dxa4481) tarafından 15 Aralık 2023 tarihli bu [blog yazısında] açıklanmıştır. OAuthenticator 16.3.0 sürümü bu sorun için bir yama içermektedir. Geçici bir çözüm olarak, kimlerin giriş yapabileceğini `allowed_users` veya `allowed_google_groups` gibi başka bir yöntemle kısıtlayın.