romain-deperne/cve-2026-40864CVE-2026-40864 के लिए प्रूफ-ऑफ-कॉन्सेप्ट: Sec-Fetch-Mode: no-cors का दुरुपयोग करते हुए क्रॉस-ओरिजिन फ़ॉर्म POST के माध्यम से JupyterHub XSRF बायपास। इसमें PoC HTML, मूल कारण विश्लेषण और प्रकटीकरण टाइमलाइन शामिल है।
Sec-Fetch-Mode: no-cors) के माध्यम से JupyterHub XSRF बायपासगंभीरता: मध्यम (CVSS 5.4)
CWE: CWE-352 — क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी (XSRF)
प्रभावित: jupyterhub 4.1.0 ≤ संस्करण < 5.4.5 (5.4.5 में पैच किया गया)
सलाह: GHSA-m68r-v472-jgq9
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-40864
श्रेय: Romain Deperne
JupyterHub की XSRF सुरक्षा (4.1.0 में पुनर्निर्मित) यह तय करने के लिए Sec-Fetch-Mode रिक्वेस्ट हेडर का उपयोग करती थी कि कोई रिक्वेस्ट समान-ओरिजिन (same-origin) थी या नहीं। यह Sec-Fetch-Mode: no-cors को समान-ओरिजिन मानती थी — लेकिन no-cors ठीक वही है जो ब्राउज़र क्रॉस-ओरिजिन "सरल" फ़ॉर्म सबमिशन के लिए भेजता है। परिणामस्वरूप, Hub के फ़ॉर्म एंडपॉइंट्स (/hub/spawn, /hub/accept-share) पर क्रॉस-ओरिजिन HTML फ़ॉर्म POSTs ने XSRF जाँच को पूरी तरह से बायपास कर दिया।
JSON API अप्रभावित है (इसके लिए गैर-सरल कंटेंट प्रकार आवश्यक है, जो CORS प्रीफ़्लाइट को बाध्य करता है)। इस तरीके से केवल HTML फ़ॉर्म एंडपॉइंट्स ही पहुँच योग्य हैं।
XSRF लॉजिक Sec-Fetch-* स्थितियों के एक समूह के लिए "विश्वसनीय" पर शॉर्ट-सर्किट करता है जिनका उद्देश्य समान-ओरिजिन नेविगेशन को कैप्चर करना था। Sec-Fetch-Mode: no-cors उस विश्वसनीय समूह में शामिल था। लेकिन no-cors वह मोड है जो ब्राउज़र एक साधारण <form method=POST> को किसी भिन्न ओरिजिन पर पोस्ट करते समय निर्दिष्ट करता है — ठीक वही क्लासिक CSRF वेक्टर जिसे टोकन को रोकना चाहिए। इसलिए कोई भी स्टेट-चेंजिंग एंडपॉइंट जो सरल फ़ॉर्म बॉडी स्वीकार करता है, और केवल इस XSRF गेट पर निर्भर करता है, क्रॉस-ओरिजिन रूप से फ़ॉर्ज करने योग्य है।
इसे वास्तविक एंडपॉइंट्स पर मैप करना: /hub/spawn (पीड़ित का सर्वर शुरू करना) और /hub/accept-share (पीड़ित को हमलावर के सर्वर का शेयर स्वीकार करवाना) दोनों इस गेट के पीछे फ़ॉर्म POSTs हैं।
/hub/spawn — एक हमलावर पेज बिना सहमति के पीड़ित का सिंगल-यूज़र सर्वर स्पॉन कर सकता है (संसाधन खपत / अप्रत्याशित स्थिति; हमलावर को उस सर्वर तक पहुँच नहीं मिलती)।/hub/accept-share — जब हमलावर एक JupyterHub उपयोगकर्ता हो जिसे अपना सर्वर शेयर करने की अनुमति है, तो वे पीड़ित को शेयर स्वीकार करने के लिए बाध्य कर सकते हैं, जिससे पीड़ित को हमलावर के सर्वर तक पहुँच मिल जाती है (आगे के सोशल-इंजीनियरिंग / डेटा-ड्रॉप परिदृश्यों के लिए एक सेटअप चरण)।Sec-Fetch-Mode को ओरिजिन ऑरेकल के रूप में उपयोग करना अविश्वसनीय है: no-cors समान-ओरिजिन का तात्पर्य नहीं देता। 5.4.5 में फ़िक्स no-cors को समान-ओरिजिन के रूप में विश्वास करना बंद कर देता है। जो ऑपरेटर तुरंत अपग्रेड नहीं कर सकते, वे रिवर्स प्रॉक्सी पर Sec-Fetch-Mode: no-cors वाली रिक्वेस्ट्स को हटा सकते हैं।
poc/csrf_spawn.html — इसे किसी भी हमलावर ओरिजिन पर होस्ट करें और किसी लॉग-इन JupyterHub उपयोगकर्ता से इसे खुलवाएँ। ऑटो-सबमिटिंग फ़ॉर्म /hub/spawn पर क्रॉस-ओरिजिन POST जारी करता है (ब्राउज़र Sec-Fetch-Mode: no-cors भेजता है); कमज़ोर बिल्ड इसे बिना किसी वैध _xsrf टोकन के स्वीकार कर लेते हैं और पीड़ित का सर्वर स्पॉन कर देते हैं। शेयर-स्वीकृति संस्करण के लिए action को /hub/accept-share पर इंगित करें।
1. Edit TARGET-JUPYTERHUB in poc/csrf_spawn.html
2. Serve the file from an attacker origin (any static host)
3. Open it in a browser already authenticated to the target Hub
4. Observe the victim's server spawn with no XSRF token supplied
ज़िम्मेदारी से प्रकट किया गया। फ़िक्स जारी होने के बाद PoC प्रकाशित किया गया।