CVE-2024-41942
Publiée le 2024-08-08 · Dernière modification le 2026-06-17
Les utilisateurs disposant du périmètre `admin:users` dans JupyterHub (versions antérieures à 4.1.6 et 5.1.0) peuvent augmenter leurs privilèges pour devenir administrateurs complets du système. Un attaquant possédant cette permission de haut niveau spécifique peut exploiter cette faille via le réseau sans aucune interaction supplémentaire de la part de l'utilisateur. Bien que l'impact soit important, cela ne concerne que des utilisateurs de confiance auxquels un contrôle administratif substantiel a déjà été accordé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
JupyterHub is software that allows one to create a multi-user server for Jupyter notebooks. Prior to versions 4.1.6 and 5.1.0, if a user is granted the `admin:users` scope, they may escalate their own privileges by making themselves a full admin user. The impact is relatively small in that `admin:users` is already an extremely privileged scope only granted to trusted users. In effect, `admin:users` is equivalent to `admin=True`, which is not intended. Note that the change here only prevents escalation to the built-in JupyterHub admin role that has unrestricted permissions. It does not prevent users with e.g. `groups` permissions from granting themselves or other users permissions via group membership, which is intentional. Versions 4.1.6 and 5.1.0 fix this issue.