Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Jupyter Server は、Jupyter Notebook のような Jupyter ウェブアプリケーションにバックエンド (コアサービス、API、REST エンドポイントなど) を提供します。バージョン 1.17.1より前では、開始ユーザーのホームディレクトリを含む「root_dir」の値でノートブックサーバーが起動される場合、基盤となる REST API を利用して、PID の推測/ブルートフォース攻撃によって開始時に割り当てられたアクセストークンが漏洩する可能性があります。 jupyter サーバーの 。
    これには認証されたユーザーセッションが必要ですが、クロスサイトスクリプティングペイロードや、フックされたブラウザなどの侵害されたブラウザからこのURLが使用されると、このアクセストークンが悪意のあるサードパーティに漏えいされる可能性があります。このトークンを REST API と共に使用して、.bashrc や .ssh/authorized_keys などの重要なファイルを変更または上書きするなどして、Jupyter サービス/ノートブックを操作することができます。これにより、悪意のあるユーザーが機密データを読み取り、影響を受ける可能性があります。この問題には、バージョン 1.17.1 でパッチが適用されています。(CVE-2022-29241)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2022-29241

high Nessus プラグイン ID 224685

バージョン 1.7