CVE-2024-39700

Remote Code Execution (RCE) vulnerability in jupyterlab extension template `update-integration-tests` GitHub Action

Severity Score

9.9

*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

*Multiple Sources

Exploited in Wild

*KEV

Decision

Attend

*SSVC

Descriptions

JupyterLab extension template is a `copier` template for JupyterLab extensions. Repositories created using this template with `test` option include `update-integration-tests.yml` workflow which has an RCE vulnerability. Extension authors hosting their code on GitHub are urged to upgrade the template to the latest version. Users who made changes to `update-integration-tests.yml`, accept overwriting of this file and re-apply your changes later. Users may wish to temporarily disable GitHub Actions while working on the upgrade. We recommend rebasing all open pull requests from untrusted users as actions may run using the version from the `main` branch at the time when the pull request was created. Users who are upgrading from template version prior to 4.3.0 may wish to leave out proposed changes to the release workflow for now as it requires additional configuration.

La plantilla de extensión de JupyterLab es una plantilla de "copiadora" para las extensiones de JupyterLab. Los repositorios creados usando esta plantilla con la opción `test` incluyen el flujo de trabajo `update-integration-tests.yml` que tiene una vulnerabilidad RCE. Se insta a los autores de extensiones que alojan su código en GitHub a actualizar la plantilla a la última versión. Los usuarios que realizaron cambios en `update-integration-tests.yml` aceptan la sobrescritura de este archivo y vuelven a aplicar los cambios más tarde. Es posible que los usuarios deseen deshabilitar temporalmente las acciones de GitHub mientras trabajan en la actualización. Recomendamos cambiar la base de todas las solicitudes de extracción abiertas de usuarios que no son de confianza, ya que las acciones pueden ejecutarse usando la versión de la rama "principal" en el momento en que se creó la solicitud de extracción. Es posible que los usuarios que estén actualizando desde una versión de plantilla anterior a la 4.3.0 deseen omitir los cambios propuestos en el flujo de trabajo de la versión por ahora, ya que requiere una configuración adicional.

*Credits: N/A

CVSS Scores

GitHubv3.1 9.9

Attack Vector

Network

Attack Complexity

Low

Privileges Required

Low

User Interaction

None

Scope

Changed

Confidentiality

High

Integrity

High

Availability

High

* Common Vulnerability Scoring System

SSVC

Decision:Attend

Exploitation

Poc

Automatable

Yes

Tech. Impact

Total

* Organization's Worst-case Scenario

Timeline

2024-06-27 CVE Reserved
2024-07-16 CVE Published
2024-07-17 EPSS Updated
2024-07-31 First Exploit
2024-08-16 CVE Updated
---------- Exploited in Wild
---------- KEV Due Date

CWE

CWE-94: Improper Control of Generation of Code ('Code Injection')

CAPEC

References (3)

URL	Tag	Source
https://github.com/jupyterlab/extension-template/commit/035e78c1c65bcedee97c95bb683abe59c96bc4e6	X_refsource_misc
https://github.com/jupyterlab/extension-template/security/advisories/GHSA-45gq-v5wm-82wg	X_refsource_confirm

URL	Date	SRC
https://github.com/LOURC0D3/CVE-2024-39700-PoC	2024-07-31

URL	Date	SRC

URL	Date	SRC

Affected Vendors, Products, and Versions

Vendor		Product				Version		Other		Status
Vendor	Product	Version	Other	Status	<-- -->	Vendor	Product	Version	Other	Status
Jupyterlab Search vendor "Jupyterlab"		Extension-template Search vendor "Jupyterlab" for product "Extension-template"				< 4.3.3 Search vendor "Jupyterlab" for product "Extension-template" and version " < 4.3.3"		en		Affected