git リポジトリプロバイダー経由のリモートコード実行

この脆弱性を悪用されると、攻撃者はBinderHubのコンテキストで任意のコードを実行できます。これにより、JupyterHub APIトークン、Kubernetesサービスアカウント、Dockerレジストリの認証情報などの機密情報を盗み出すことが可能になります。さらに、攻撃者はイメージやユーザーが作成したポッドを操作し、Kubernetesの設定によってはホストへのエスカレーションも可能になる危険性があります。この脆弱性は、機密情報の漏洩、システムの乗っ取り、さらにはインフラ全体への影響を及ぼす可能性があります。

Organizations utilizing BinderHub for interactive computing environments, particularly those deploying it within Kubernetes clusters, are at significant risk. Shared hosting environments where BinderHub is deployed alongside other services are also vulnerable, as a compromise could impact multiple users. Users relying on BinderHub for sensitive data processing or image building are especially at risk.

• python / binderhub:

import requests

url = 'http://binderhub-url/hub/user'
headers = {'X-Requested-With': 'XMLHttpRequest'}

# Attempt to trigger the vulnerability with a crafted payload
response = requests.get(url, headers=headers)

if response.status_code == 200:
    print('Potential vulnerability detected. Review response content.')
else:
    print('No vulnerability detected.')

• linux / server:

journalctl -u binderhub -f | grep -i "error" # Monitor for errors related to input processing

1. 2021-08-30Disclosure

   disclosure

1. 予約済み2021-08-16
2. 公開日2021-08-30
3. 更新日2026-03-13
4. EPSS 更新日2026-04-02

この脆弱性への対応策としては、まずBinderHubをバージョン0.2.0以降にアップデートすることが推奨されます。アップデートが困難な場合は、入力の検証を強化し、BinderHubのアクセス制御を厳格化することでリスクを軽減できます。また、WAFやプロキシサーバーを使用して悪意のある入力をブロックすることも有効です。Kubernetes環境で運用している場合は、RBAC（Role-Based Access Control）の設定を見直し、最小限の権限でBinderHubを実行するように構成してください。