🇰🇷 한글 설명
JupyterHub 6.0.1 이하 버전에서 식별자 충돌 취약점이 발견되었습니다. 인증된 사용자가 하이픈(-)이 포함된 사용자 이름을 등록함으로써 다른 사용자의 OAuth 클라이언트를 덮어쓸 수 있습니다. 이를 통해 공격자는 타인의 OAuth 로그인을 방해하거나 토큰을 무효화할 수 있습니다.
💡 쉬운 설명
사용자 이름에 하이픈을 넣어 다른 사람의 계정 정보와 겹치게 만드는 공격입니다. 이를 통해 다른 사용자의 로그인 기능을 망가뜨리거나 접속을 차단할 수 있습니다.
🇺🇸 원문 (English)
JupyterHub through 6.0.1 contains an identifier collision vulnerability that allows authenticated users to overwrite another user's named-server OAuth client by registering a hyphenated username. Attackers holding a name like alice-prod can overwrite the client for alice's server prod, breaking OAuth login and revoking tokens by stopping their own server.
📍 영향받는 시스템
JupyterHub 6.0.1 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 타겟 사용자의 식별자와 충돌하는 하이픈 포함 사용자 이름을 생성하여 OAuth 클라이언트 정보를 덮어씀
🛡️ 대응 방법
JupyterHub를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 6.0.1 이하인지 확인하여 취약 여부를 판단합니다.
pip show jupyterhub | grep Version