OAuthenticator: Bypass de autenticación en Auth0OAuthenticator a través de Reclamaciones de Correo Electrónico No Verificadas

El impacto principal de esta vulnerabilidad radica en la posibilidad de una toma de control de cuentas en JupyterHub. Un atacante que pueda explotar esta falla puede obtener acceso no autorizado a un entorno JupyterHub, comprometiendo la confidencialidad, integridad y disponibilidad de los datos y recursos alojados. Al poder controlar el nombre de usuario, el atacante podría suplantar la identidad de un usuario legítimo, ejecutar código malicioso o acceder a información sensible. La gravedad de este impacto se agrava si JupyterHub se utiliza para entornos de investigación o desarrollo que manejan datos confidenciales.

Organizations utilizing JupyterHub with oauthenticator for authentication, particularly those relying on Auth0 for identity management, are at risk. This includes research institutions, data science teams, and educational organizations where JupyterHub is used for collaborative coding and data analysis. Legacy JupyterHub deployments with older oauthenticator versions are especially vulnerable.

• python / JupyterHub:

import subprocess
result = subprocess.run(['pip', 'show', 'oauthenticator'], capture_output=True, text=True)
if 'Version' in result.stdout:
    version = result.stdout.split('Version: ')[1].split('\n')[0]
    if version < '17.4.0':
        print('Vulnerability detected: oauthenticator version is < 17.4.0')
else:
    print('oauthenticator not found.')

• python / JupyterHub: Check JupyterHub logs for login attempts using unverified email addresses from Auth0. • generic web: Monitor JupyterHub login endpoints for unusual activity or requests from suspicious IP addresses.

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-04-03
3. Modificada2026-04-07
4. EPSS actualizado2026-04-11

La mitigación principal para CVE-2026-33175 es actualizar oauthenticator a la versión 17.4.0 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización a la versión 17.4.0 causa problemas de compatibilidad, se recomienda evaluar la posibilidad de realizar una reversión a una versión anterior estable que no esté afectada. Como medida adicional, se recomienda revisar la configuración de Auth0 para asegurar que la verificación de correo electrónico esté habilitada y se apliquen políticas de contraseñas robustas. Monitorear los registros de JupyterHub en busca de intentos de inicio de sesión sospechosos también puede ayudar a detectar y prevenir ataques.