リモートの Fedora 38 ホストには、FEDORA-2023-88c411e973 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jupyter-server は、Jupyter ウェブアプリケーションのバックエンドです。「/files/」URL のクロスサイト認証情報が不適切にチェックされているため、特定のファイルコンテンツが漏洩したり、[Open image in new tab] (新しいタブで画像を開く) から信頼できないファイルを開いたときにファイルにアクセスしたりする可能性があります。この問題は、リリース「2.7.2」に含まれているコミット「87a49272728」で対処されています。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、適切なチェックを実装した、パフォーマンスの低い「--ContentsManager.files_handler_class=jupyter_server.files.handlers.FilesHandler」を使用することができます。(CVE-2023-40170)

  - jupyter-server は、Jupyter ウェブアプリケーションのバックエンドです。オープンリダイレクトの脆弱性。既知のJupyter Serversへのログインリンクが悪意を持って細工されると、ログインが成功するか、すでにログインしているセッションが、Jupyter Server が提供する URL に制限されるべき任意のサイトにリダイレクトされる可能性があります。この問題は、リリース 2.7.2 に含まれているコミット「29036259」で対処されています。ユーザーはアップグレードすることをお勧めします。
    この脆弱性に対する既知の回避策はありません。(CVE-2023-39968)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fedora 38: python-jupyter-server (2023-88c411e973)

medium Nessus プラグイン ID 181192

バージョン 1.0