複数の脆弱性がjupyter-notebookで発見されました。

CVE-2018-8768

悪意を持って偽造されたノートブックファイルが、ノートブックのコンテキストでJavaScriptを実行するためにサニタイズをバイパスする可能性があります。具体的には、無効なHTMLがサニタイズ後にjQueryによって「修正」され、危険になります。

CVE-2018-19351

nbconvert応答がノートブックサーバーと同じ生成元を持つと見なされるため、信頼できないノートブックを介したXSSが許可されます。

CVE-2018-21030

jupyter-notebookでは、提供されたファイルを別の生成元に属するものとして扱うために、CSPヘッダーを使用しません。このため、たとえば、XSSペイロードをSVGドキュメントに配置できます。

Debian 9「Stretch」では、これらの問題はバージョン4.2.3-4+deb9u1で修正されています。

お使いのjupyter-notebookパッケージをアップグレードすることを推奨します。

jupyter-notebookの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/jupyter-notebook

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2432-1: jupyter-notebookセキュリティ更新

high Nessus プラグイン ID 143107

変更ログが見つかりません