CVE-2026-40934
Açıklama
Jupyter Server, Jupyter web uygulamaları için arka uçtur. 2.17.0 ve önceki sürümlerde, kimlik doğrulama çerezlerini imzalamak için kullanılan gizli anahtar ~/.local/share/jupyter/runtime/jupyter_cookie_secret konumundaki statik bir dosyada saklanır ve kullanıcı şifresini değiştirdiğinde asla döndürülmez. Şifre sıfırlama ve sunucu yeniden başlatma işleminden sonra, imzalama anahtarı değişmediği için daha önce düzenlenmiş herhangi bir kimlik doğrulama çerezi kriptografik olarak geçerli kalmaya devam eder. Herhangi bir yolla oturum çerezini ele geçiren bir saldırgan, sonraki şifre değişikliklerinden bağımsız olarak sunucuya tam yetkili erişimini korur. Bu durum, özellikle kimlik bilgisi döndürme işleminin mevcut oturumları iptal etmesinin beklendiği paylaşılan veya halka açık sunucular olmak üzere, şifre tabanlı kimlik doğrulaması kullanan dağıtımları etkiler. Bu sorun 2.18.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- jupyter jupyter_server2.18.0 ya da sonraki bir sürüm
- jupyter-server2.18.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jupyter jupyter_server | v < 2.18.0 | 2.18.0 |
| jupyter-serverPyPI | v < 2.18.0 | 2.18.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.