OAuthenticator: 未検証のメールクレームを介した Auth0OAuthenticator の認証バイパス

この認証バイパス脆弱性は、攻撃者がAuth0テナントで未検証のメールアドレスを使用することで、JupyterHubに不正にログインすることを可能にします。攻撃者は、ユーザー名クレームとしてメールアドレスが使用されている場合、ユーザー名を制御し、アカウントを乗っ取ることができます。これにより、機密データへのアクセス、システム設定の変更、さらにはJupyterHub環境全体の制御を奪われる可能性があります。特に、認証プロセスに依存する重要なタスクを実行している環境では、深刻な影響が考えられます。

Organizations utilizing JupyterHub with oauthenticator for authentication, particularly those relying on Auth0 for identity management, are at risk. This includes research institutions, data science teams, and educational organizations where JupyterHub is used for collaborative coding and data analysis. Legacy JupyterHub deployments with older oauthenticator versions are especially vulnerable.

• python / JupyterHub:

import subprocess
result = subprocess.run(['pip', 'show', 'oauthenticator'], capture_output=True, text=True)
if 'Version' in result.stdout:
    version = result.stdout.split('Version: ')[1].split('\n')[0]
    if version < '17.4.0':
        print('Vulnerability detected: oauthenticator version is < 17.4.0')
else:
    print('oauthenticator not found.')

• python / JupyterHub: Check JupyterHub logs for login attempts using unverified email addresses from Auth0. • generic web: Monitor JupyterHub login endpoints for unusual activity or requests from suspicious IP addresses.

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-04-03
3. 更新日2026-04-07
4. EPSS 更新日2026-04-11

この脆弱性への最善の対応は、oauthenticatorをバージョン17.4.0以降にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的な回避策として、Auth0テナントでメールアドレスの検証を強化することを検討してください。また、JupyterHubへのアクセスを制限し、不要なユーザーアカウントを削除することも有効です。WAFやプロキシサーバーを使用している場合は、不正なログイン試行を検出するためのルールを実装することを推奨します。