p PatchFirst

CVE-2024-37300

CVE-2024-37300 · Globus `identity_provider` restriction ignored when used with `allow_all` in JupyterHub 5.0

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

OAuthenticator is software that allows OAuth2 identity providers to be plugged in and used with JupyterHub. JupyterHub < 5.0, when used with `GlobusOAuthenticator`, could be configured to allow all users from a particular institution only. This worked fine prior to JupyterHub 5.0, because `allow_all` did not take precedence over `identity_provider`. Since JupyterHub 5.0, `allow_all` does take precedence over `identity_provider`. On a hub with the same config, now all users will be allowed to login, regardless of `identity_provider`. `identity_provider` will basically be ignored. This is a documented change in JupyterHub 5.0, but is likely to catch many users by surprise. OAuthenticator 16.3.1 fixes the issue with JupyterHub 5.0, and does not affect previous versions. As a workaround, do not upgrade to JupyterHub 5.0 when using `GlobusOAuthenticator` in the prior configuration.

CVSS 8.1 · Hoch · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • oauthenticator

    Softwareversionen
    • < 16.3.1: Betroffen

    Keine Korrektur veröffentlicht

  • oauthenticator PyPI

    Softwareversionen
    • 0.1.0
    • 0.10.0
    • 0.11.0
    • 0.12.0
    • 0.12.1
    • 0.12.2
    • 0.12.3
    • 0.13.0
    • 0.2.0
    • 0.3.0
    • 0.4.0
    • 0.4.1
    • 0.5.0
    • 0.5.1
    • 0.6.0
    • 0.6.1
    • 0.6.2
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.7.3
    • 0.8.0
    • 0.8.1
    • 0.8.2
    • 0.9.0
    • 14.0.0
    • 14.1.0
    • 14.2.0
    • 15.0.0
    • 15.0.1
    • 15.1.0
    • 16.0.0
    • 16.0.1
    • 16.0.2
    • 16.0.3
    • 16.0.4
    • 16.0.5
    • 16.0.6
    • 16.0.7
    • 16.1.0
    • 16.1.1
    • 16.2.0
    • 16.2.1
    • 16.3.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 16.3.1

    Auf 16.3.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →