GoogleOAuthenticator.hosted_domain 错误地验证了 Google 组织/工作区的成员资格 (CVE-2024-29033)
CVE编号
CVE-2024-29033利用情况
暂无补丁情况
N/A披露时间
2024-03-21漏洞描述
OAuthenticator为JupyterHub提供插件，以使用常见的OAuth提供程序，同时为编写自己的Authenticator与任何OAuth 2.0提供程序提供基类。`GoogleOAuthenticator.hosted_domain`用于限制哪些Google帐户可以授权访问JupyterHub。该限制旨在限制属于一个或多个经过验证以控制指定域名的Google组织的Google帐户。在版本16.3.0之前，实际限制是仅对以该域名结尾的电子邮件的Google帐户。这样的帐户可以由任何能够阅读与该域关联的电子邮件的人创建。这是由Dylan Ayrey在2023年12月15日的博客文章中描述的。OAuthenticator 16.3.0包含了针对此问题的补丁。作为解决方法，可以通过另一种方式限制谁可以登录，例如`allowed_users`或`allowed_google_groups`。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 无
- 完整性 高
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论