🇰🇷 한글 설명
Jupyter Server 1.1.1 미만 버전에서 발생하는 오픈 리다이렉트 취약점입니다. 공격자가 조작된 링크를 통해 사용자를 악성 웹사이트로 리다이렉트시켜 피싱 공격 등에 악용할 수 있습니다.
💡 쉬운 설명
안전해 보이는 주소를 클릭했는데 갑자기 가짜 사이트로 연결되어 개인정보를 빼앗길 수 있는 보안 약점입니다. 주피터 서버를 사용하는 환경에서 링크를 통해 사용자를 엉뚱한 곳으로 보낼 수 있습니다.
🇺🇸 원문 (English)
The Jupyter Server provides the backend (i.e. the core services, APIs, and REST endpoints) for Jupyter web applications like Jupyter notebook, JupyterLab, and Voila. In Jupyter Server before version 1.1.1, an open redirect vulnerability could cause the jupyter server to redirect the browser to a different malicious website. All jupyter servers running without a base_url prefix are technically affected, however, these maliciously crafted links can only be reasonably made for known jupyter server hosts. A link to your jupyter server may *appear* safe, but ultimately redirect to a spoofed server on the public internet. This same vulnerability was patched in upstream notebook v5.7.8. This is fixed in jupyter_server 1.1.1. If upgrade is not available, a workaround can be to run your server on a url prefix: "jupyter server --ServerApp.base_url=/jupyter/".
📍 영향받는 시스템
Jupyter Server 1.1.1 미만 버전 (base_url 접두사 없이 실행 중인 경우)
⚔️ 공격 벡터
조작된 URL 링크를 클릭하도록 유도하여 사용자를 악성 사이트로 리다이렉트
🛡️ 대응 방법
Jupyter Server를 1.1.1 이상 버전으로 업그레이드하거나, 서버 실행 시 --ServerApp.base_url 옵션을 사용하여 URL 접두사를 설정하십시오.
🔧 검증 코드
출력된 버전이 1.1.1보다 낮으면 취약한 상태입니다.
pip show jupyter_server | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server