Jupyter Notebook 和 JupyterLab 中的 HTML 注入导致 DOM Clobbering (CVE-2024-43805)

CVE编号

CVE-2024-43805

利用情况

暂无

补丁情况

N/A

披露时间

2024-08-29

漏洞描述

JupyterLab 是一个基于 Jupyter Notebook 架构的交互式和可重复计算的扩展环境。此漏洞依赖于用户通过打开包含 Markdown 单元格的恶意笔记本或使用 JupyterLab 预览功能打开 Markdown 文件来进行交互。恶意用户可能会访问受攻击用户有权访问的任何数据，并可以充当受攻击用户执行任意请求。JupyterLab v3.6.8、v4.2.5 和 Jupyter Notebook v7.2.2 已经进行了修补以解决此问题。建议用户进行升级。对于基本的 DOM Clobbering 漏洞，没有替代解决方案。然而，对于不能及时更新的部署，可以禁用某些插件以最大程度地降低风险。这些插件包括：1. `@jupyterlab/mathjax-extension:plugin` - 用户将无法使用此插件预览数学方程式。2. `@jupyterlab/markdownviewer-extension:plugin` - 用户将无法打开 Markdown 预览。3. `@jupyterlab/mathjax2-extension:plugin`（如果安装了可选的 `jupyterlab-mathjax2` 包）- 这是 JupyterLab 4.x 的较旧版本的 MathJax 插件。要禁用这些扩展，请在 bash 中运行以下命令：```bashjupyter labextension disable @jupyterlab/markdownviewer-extension:plugin && jupyter labextension disable @jupyterlab/mathjax-extension:plugin && jupyter labextension disable @jupyterlab/mathjax2-extension:plugin```

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/jupyterlab/jupyterlab/security/advisories/GHSA-9q39-rmj3-p4r2

CVSS3评分 7.6

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 低
• 保密性 高
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:L

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com