JupyterLab: Sicherheitsabfrage für Befehlslinks kann ein anderes als das angeklickte Dokument als vertrauenswürdig einstufen

Beschreibung

Eine Markdown-Datei oder eine Notebook-Ausgabe kann eine Schaltfläche enthalten, die einen JupyterLab-Befehl ausführt. Seit 4.5.7 öffnet der erste Klick auf eine solche Schaltfläche einen Dialog mit der Nennung des Befehls sowie den Optionen „Abbrechen“, „Einmal ausführen“ und „Vertrauen“. Die Auswahl von „Vertrauen“ führt den Befehl aus und markiert das Dokument als vertrauenswürdig, sodass spätere Schaltflächen ohne Aufforderung ausgeführt werden.

Welches Dokument markiert wird, entscheidet sich bei der Beantwortung durch den Benutzer, nicht beim Klicken. Beide Vertrauensbefehle lesen das Dokument aus, das in diesem Moment aktiv ist: markdownviewer:trust verwendet tracker.currentWidget und notebook:trust eine äquivalente Abfrage. Wenn ein anderes Dokument aktiv wird, während der Dialog geöffnet ist, wird jenes Dokument als vertrauenswürdig markiert, während das ursprünglich vom Benutzer betrachtete Dokument nicht vertrauenswürdig bleibt.

Benutzer sind betroffen, wenn alle folgenden Bedingungen erfüllt sind:

• Sie verwenden JupyterLab 4.5.7 bis 4.6.3 oder eine Anwendung, die dies bündelt, wie Notebook 7.5+;
• sie öffnen eine Markdown-Datei oder ein Notebook von Dritten und klicken darin auf eine Schaltfläche;
• sie wählen „Vertrauen“ anstelle von „Abbrechen“ oder „Einmal ausführen“; und
• ein zweites Dokument wird zum aktiven Dokument, während der Dialog geöffnet ist (z. B. durch die Wiederherstellung eines Arbeitsbereichs beim Start, die Aktivierung eines Widgets durch eine Erweiterung oder einen Befehl zum Öffnen einer Datei).

Auswirkungen

Der Benutzer verliert die Kontrolle darüber, welchem Dokument vertraut wurde. Jede Schaltfläche in dem (fälschlicherweise) als vertrauenswürdig markierten Dokument wird fortan ohne Rückfrage ausgeführt. Stammt dieses Dokument ebenfalls aus einer nicht vertrauenswürdigen Quelle, lösen dessen Schaltflächen bei einem einfachen Klick ohne Bestätigung aus. Genau diesen Zustand sollte die mit GHSA-mqcg-5x36-vfcg. eingeführte Abfrage verhindern.

Der ausgeführte Befehl hatte die Zustimmung des Benutzers, da der Dialog ihn nannte und „Vertrauen“ geklickt wurde. Das ursprünglich gelesene Dokument bleibt nicht vertrauenswürdig und fordert beim nächsten Klick erneut eine Bestätigung an.

Notebooks werden auf die Festplatte geschrieben

Handelt es sich bei dem markierten Dokument um ein Notebook, wirkt sich dies über die aktuelle Browsersitzung hinaus aus. notebook:trust markiert jede Zelle als vertrauenswürdig und speichert anschließend die Datei. Dies führt dazu, dass der Server sie signiert, wodurch das Notebook auch beim nächsten Öffnen vertrauenswürdig bleibt. Beim Speichern werden zudem alle ungespeicherten Änderungen in dieses Notebook geschrieben. Zwar erscheint zuvor eine zweite Bestätigung, diese weist jedoch lediglich darauf hin, dass ein vertrauenswürdiges Notebook verborgenen Code ausführen kann, ohne den Dateinamen zu nennen; sie zeigt dem Benutzer also nicht, welches Notebook als vertrauenswürdig eingestuft wird.

Eine auf diese Weise markierte Markdown-Vorschau bleibt nur bis zum Schließen vertrauenswürdig. Es wird nichts auf die Festplatte geschrieben.

Patches

JupyterLab v4.6.4 und v4.5.11 enthalten den Patch. Die Vertrauensanforderung überträgt nun das tatsächlich angeklickte Dokument, und der Befehl wird erst ausgeführt, nachdem genau dieses Dokument markiert wurde.

Benutzer von Anwendungen, die von JupyterLab abhängen, wie z. B. Notebook v7+, sollten das Paket jupyterlab ebenfalls aktualisieren.

Workarounds

Angesichts der hohen Komplexität eines potenziellen Exploits wird empfohlen, diese Maßnahme als Defense-in-Depth zu betrachten und baldmöglichst zu aktualisieren, anstatt die unten aufgeführten Behelfslösungen anzuwenden. Für Benutzer in hochsensiblen Umgebungen, die kein Upgrade durchführen können, stehen jedoch folgende Workarounds zur Verfügung:

Deaktivieren Sie den Command-Linker, wodurch die Möglichkeit zur Ausführung von Frontend-Befehlen vollständig entfernt wird:

{
  "@jupyterlab/apputils-extension:sanitizer": {
    "allowCommandLinker": false
  }
}

In dieser Konfiguration reagieren Schaltflächen in Markdown-Dateien und Notebook-Ausgaben bei Klicks nicht mehr. Dokumentationen und Erweiterungen, die Befehlslinks zur Navigation nutzen, funktionieren nicht mehr. Diese Einstellung gilt für alle Dokumente, nicht nur für nicht vertrauenswürdige.

Wenn das Deaktivieren dieser Einstellung nicht infrage kommt und ein Update nicht möglich ist, weisen Sie die Benutzer an, „Einmal ausführen“ statt „Vertrauen“ zu wählen. „Einmal ausführen“ führt den Befehl aus, ohne ein Dokument zu markieren, sodass nichts versehentlich als vertrauenswürdig eingestuft werden kann.