CVE-2022-24758
Publiée le 2022-03-31 · Dernière modification le 2026-06-17
Les serveurs Jupyter Notebook antérieurs à la version 6.4.9 divulguent des cookies d'authentification et des données d'en-tête sensibles dans leurs journaux système (logs) lors de l'apparition d'une erreur serveur 5xx. Un attaquant ayant un accès réseau basique à ces journaux peut voler ces identifiants pour détourner des sessions actives et obtenir un accès non autorisé au serveur. Cette opération est relativement facile à exécuter, car l'exploitation de cette faille de journalisation ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Jupyter notebook is a web-based notebook environment for interactive computing. Prior to version 6.4.9, unauthorized actors can access sensitive information from server logs. Anytime a 5xx error is triggered, the auth cookie and other header values are recorded in Jupyter server logs by default. Considering these logs do not require root access, an attacker can monitor these logs, steal sensitive auth/cookie information, and gain access to the Jupyter server. Jupyter notebook version 6.4.x contains a patch for this issue. There are currently no known workarounds.