🇰🇷 한글 설명
Jupyter Server에서 인증된 사용자의 API 요청 시 처리되지 않은 오류가 발생할 경우, 경로 정보가 포함된 트레이스백(traceback) 정보가 노출되는 취약점입니다. 이 정보는 시스템의 내부 경로를 드러낼 수 있으나, 이미 권한을 가진 사용자에 의해 발생하므로 민감도는 낮게 평가됩니다. 해당 문제는 버전 2.11.2에서 트레이스백 정보를 빈 값으로 반환하도록 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 잘못된 요청을 보냈을 때, 서버의 내부 주소나 경로가 담긴 오류 메시지가 화면에 나타나는 문제입니다. 해커가 시스템 내부 구조를 파악하는 데 도움을 줄 수 있으므로 최신 버전으로 업데이트가 필요합니다.
🇺🇸 원문 (English)
The Jupyter Server provides the backend (i.e. the core services, APIs, and REST endpoints) for Jupyter web applications like Jupyter notebook, JupyterLab, and Voila. Unhandled errors in API requests coming from an authenticated user include traceback information, which can include path information. There is no known mechanism by which to trigger these errors without authentication, so the paths revealed are not considered particularly sensitive, given that the requesting user has arbitrary execution permissions already in the same environment. A fix has been introduced in commit `0056c3aa52` which no longer includes traceback information in JSON error responses. For compatibility, the traceback field is present, but always empty. This commit has been included in version 2.11.2. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Jupyter Server 2.11.2 미만 버전
⚔️ 공격 벡터
인증된 사용자가 의도적으로 잘못된 API 요청을 보내 서버의 오류 메시지를 유도함
🛡️ 대응 방법
Jupyter Server를 버전 2.11.2 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 2.11.2보다 낮은지 확인합니다.
pip show jupyter_server | grep Version