IPython Notebook 代码注入漏洞 | KnowSafe漏洞情报平台

基本信息

漏洞ID：1164379
漏洞类型：代码注入
发布日期：2014-01-22
更新时间：2015-05-07
CVE编号： CVE-2014-3429
CNNVD-ID：CNNVD-201407-675
漏洞平台： N/A
CVSS评分：6.8

漏洞来源

<a href="https://www.securityfocus.com/bid/68680" target="_blank">https://www.securityfocus.com/bid/68680</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201407-675" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201407-675</a><br/>

漏洞详情

IPython是IPython团队开发的一个Python的原生交互式shell的增强版。Notebook是其中的一个开发环境。IPythonNotebook1.2之前0.12至1.x版本中存在安全漏洞，该漏洞源于程序没有验证websocket请求源。远程攻击者可通过已知的内核ID和特制的页面利用该漏洞执行任意代码。

参考资料

来源:bugzilla.redhat.com
链接:https://bugzilla.redhat.com/show_bug.cgi?id=1119890
来源:MLIST
链接:http://seclists.org/oss-sec/2014/q3/152
来源:MLIST
链接:http://permalink.gmane.org/gmane.comp.python.ipython.devel/13198
来源:github.com
链接:https://github.com/ipython/ipython/pull/4845
来源:lambdaops.com
链接:http://lambdaops.com/cross-origin-websocket-hijacking-of-ipython
来源:XF
链接:http://xforce.iss.net/xforce/xfdb/94497
来源:BID
链接:http://www.securityfocus.com/bid/68680