【漏洞预警】Jupyter Remote Desktop未授权访问漏洞CVE-2025-32428

cexlife 飓风网络安全 2025-04-18 12:22

漏洞描述:

Jupyter远程桌面代理使得TigerVNC能够通过网络访问,而非仅通过UNIX套接字进行访问（这是其预期功能）,Jupyter远程桌面代理允许您在JupyterHub上运行Linux桌面,jupyter-remote-desktop-proxy自从3.0.0版本起就旨在依赖于仅能由当前用户读取的UNIX套接字,但当与TigerVNC一起使用时,由jupyter-remote-desktop-proxy启动的VNC服务器仍可通过网络访问,此漏洞不会影响使用TurboVNC作为vncserver可执行文件的用户。

影响产品:

jupyter_server_proxy<=3.0.0

修复建议:

安装补丁:请访问JuруtеrHub远程桌面代理的GitHub页面,下载最新版本的补丁并按照说明进行安装。

其他修复方法:

确保在网络中限制对VNC服务器的访问,避免未授权访问。

缓解方案:

建议用户尽快更新到最新版本,并在网络中实施适当的访问控制措施,以降低潜在风险。

参考链接:

https://github.com/jupyterhub/jupyter-remote-desktop-proxy/security/advisories/GHSA-vrq4-9hc3-cgp7