🇰🇷 한글 설명
Jupyter Server 2.17.0 및 이전 버전에서 인증 쿠키 서명에 사용되는 비밀 키가 비밀번호 변경 후에도 교체되지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 이전에 탈취한 세션 쿠키를 보유하고 있다면, 사용자가 비밀번호를 재설정하더라도 서버에 계속해서 인증된 상태로 접근할 수 있습니다.
💡 쉬운 설명
비밀번호를 바꿔도 해커가 훔쳐간 로그인 정보가 여전히 유효하게 작동하는 문제입니다. 해커가 한 번 로그인 권한을 얻으면 사용자가 비밀번호를 변경해도 쫓겨나지 않고 계속 접속할 수 있습니다.
🇺🇸 원문 (English)
Jupyter Server is the backend for Jupyter web applications. In versions 2.17.0 and earlier, the secret used to sign authentication cookies is persisted to a static file at ~/.local/share/jupyter/runtime/jupyter_cookie_secret and is never rotated when a user changes their password. After a password reset and server restart, any previously issued authentication cookie remains cryptographically valid because the signing key has not changed. An attacker who has captured a session cookie through any means retains full authenticated access to the server regardless of subsequent password changes. This affects deployments using password-based authentication, particularly shared or public-facing servers where credential rotation is expected to revoke existing sessions. This issue has been fixed in version 2.18.0.
📍 영향받는 시스템
Jupyter Server 2.17.0 및 그 이전 모든 버전
⚔️ 공격 벡터
탈취된 세션 쿠키를 이용한 지속적인 인증 우회 및 세션 재사용
🛡️ 대응 방법
Jupyter Server를 2.18.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 2.18.0 미만이면 취약한 버전입니다.
pip show jupyter_server | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server