jupyterhub-ltiauthenticator یک افزونه برای JupyterHub است که امکان احراز هویت کاربران از طریق LTI را فراهم می‌کند. این افزونه به دانشگاه‌ها، مدارس و پلتفرم‌های یادگیری آنلاین کمک می‌کند تا کاربران‌شان بتوانند با استفاده از حساب کاربری خود در سیستم‌های آموزشی مثل Moodle یا Google Classroom، بدون نیاز به ساخت حساب جدید، به JupyterHub وارد شوند.
این افزونه به دلیل عدم بررسی مناسب امضاهای JWT دارای آسیب‌پذیری با شناسه‌ی CVE-2023-25574 و شدت 10 است.
جزئیات آسیب‌پذیری
در نسخه‌ی 1.3.0 این افزونه، ماژول احراز هویت LTI13Authenticator امضاهای JWT را به درستی بررسی نمی‌کند. این ضعف امنیتی می‌تواند به مهاجم اجازه دهد یک درخواست جعلی ارسال کند و بدون احراز هویت معتبر وارد JupyterHub شود.
تنها کاربرانی که JupyterHub خود را برای استفاده از LTI13Authenticator پیکربندی کرده‌اند، تحت تأثیر این آسیب‌پذیری قرار می‌گیرند.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H نشان می‌دهد که:
- این آسیب‌پذیری از راه دور قابل سوءاستفاده است،
- نیازی به دسترسی اولیه یا تعامل با کاربر ندارد،
- بهره‌برداری از آن منجر به نقص در یکپارچگی، محرمانگی و صحت اطلاعات در JupyterHub خواهد شد.
نسخه‌های تحت تأثیر
نسخه‌ی 1.3.0 این افزونه که ماژول احراز هویت LTI13Authenticator را معرفی کرده است، تحت تأثیر این آسیب‌پذیری قرار دارد.
توصیه‌های امنیتی
- به‌روزرسانی افزونه به نسخه‌ی 1.4.0 که LTI13Authenticator را به‌طور کامل حذف کرده است.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2023-25574
[2]https://www.cve.org/CVERecord?id=CVE-2023-25574
[3]https://github.com/jupyterhub/ltiauthenticator/security/advisories/GHSA-mcgx-2gcr-p3hp
- 79