CVE-2024-28179: RCE en jupyter-server-proxy

Esta vulnerabilidad permite a atacantes no autenticados acceder a cualquier punto final de websocket expuesto a través de jupyter-server-proxy. En muchos escenarios, esto conduce directamente a la ejecución remota de código arbitrario en el servidor Jupyter. Un atacante podría, por ejemplo, inyectar código malicioso en un notebook y ejecutarlo a través del proxy, comprometiendo la confidencialidad, integridad y disponibilidad del sistema. El impacto se amplifica si el servidor Jupyter se utiliza para procesar datos sensibles o interactúa con otros sistemas, ya que un atacante podría utilizar esta vulnerabilidad para moverse lateralmente dentro de la red. La severidad CRÍTICA del CVSS 9.8 refleja el alto riesgo asociado con la explotación de esta vulnerabilidad.

Organizations and individuals using Jupyter notebooks in production environments, particularly those relying on Jupyter Server Proxy for websocket communication, are at significant risk. Shared hosting environments where Jupyter notebooks are deployed could be particularly vulnerable, as attackers might exploit the vulnerability to compromise multiple users.

• python / jupyter:

import subprocess
result = subprocess.run(['jupyter', 'server', '--version'], capture_output=True, text=True)
if result.stdout.strip() <= '4.1.0':
    print("Vulnerable version detected!")

• linux / server:

ps aux | grep jupyter-server-proxy | grep -q 'websocket'
if [ $? -eq 0 ]; then
    echo "Jupyter Server Proxy with websocket enabled detected - investigate further!"
fi

• generic web:

curl -I http://<jupyter_server_proxy_url>/api/routes | grep -q 'websocket'
if [ $? -eq 0 ]; then
    echo "Websocket endpoint detected - potential vulnerability!"
fi

1. 2024-03-20Disclosure

   disclosure

1. Reservado2024-03-06
2. Publicada2024-03-20
3. Modificada2026-02-04
4. EPSS actualizado2026-04-02

La mitigación principal es actualizar jupyter-server-proxy a la versión 3.2.3 o superior, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se pueden implementar medidas de mitigación temporales. Restringir el acceso a la red al punto final del proxy solo a usuarios y sistemas autorizados puede reducir la superficie de ataque. Implementar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes no autenticadas a los puntos finales de websocket también puede ayudar. Monitorear los registros del servidor Jupyter en busca de actividad sospechosa, como conexiones no autorizadas o ejecución de comandos inesperados, es crucial. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el acceso no autenticado a los puntos finales de websocket está bloqueado.