CVE-2020-26250

OAuthenticator è un meccanismo di login OAuth per JupyterHub. Nelle versioni di oauthenticator dalla 0.12.0 fino alla 0.12.2 (esclusa), la configurazione deprecata (in jupyterhub 1.2) `Authenticator.whitelist`, che dovrebbe essere mappata in modo trasparente su `Authenticator.allowed_users` con un avviso, viene invece ignorata dalle classi OAuthenticator, con conseguente comportamento identico a quello di una configurazione non impostata. Se questa è l’unica modalità di restrizione dell’autorizzazione (cioè nessuna restrizione basata su gruppi o team nella configurazione), allora tutti gli utenti autenticati saranno autorizzati. Le restrizioni basate su provider, inclusi valori deprecati come `GitHubOAuthenticator.org_whitelist`, **non** sono interessate. Tutti gli utenti di OAuthenticator 0.12.0 e 0.12.1 con JupyterHub 1.2 (JupyterHub Helm chart 0.10.0-0.10.5) che utilizzano la configurazione `admin.whitelist.users` nel chart Helm di jupyterhub o la configurazione `c.Authenticator.whitelist` direttamente. Gli utenti di altre configurazioni deprecate, ad esempio `c.GitHubOAuthenticator.team_whitelist`, **non** sono interessati. Se si visualizza una riga di log come questa e si aspetta una lista specifica di username consentiti: "[I 2020-11-27 16:51:54.528 JupyterHub app:1717] Not using allowed_users. Any authenticated user will be allowed." è probabile che si sia interessati. Si consiglia di aggiornare oauthenticator alla versione 0.12.2. Come workaround, si può sostituire la deprecata `c.Authenticator.whitelist = ...` con `c.Authenticator.allowed_users = ...`. Se durante questo periodo sono stati autorizzati utenti che non avrebbero dovuto esserlo, devono essere eliminati tramite API o interfaccia di amministrazione, come indicato nella documentazione di riferimento.