JupyterLab හි රූප දර්ශකය SVG (Scalable Vector Graphics) ගොනු සැකසීමේදී තවත් වැදගත් ආරක්ෂා දෝෂයක් හඳුනාගන්නා ලදී. මෙම දෝෂය, පරිශීලකයෙකු SVG ගොනුවක් නව ටැබ් එකක විවෘත කළ විට, පූර්ව-ඇතුළත් JavaScript කේතයක් ක්රියාත්මක වීමට ඉඩ සලසයි.
දෝෂය GHSA‑GX64‑GJ6P‑PC4C ලෙස ලේඛනය කර ඇති අතර, CVSS වර්ග 8.2 (ඉහළ) අගයක් ලබා ඇත. JupyterLab 4.5.10 තෙක් සහ 4.6.0‑4.6.1 අතර ඇති සංස්කරණ වල මෙම ගැටළුව පවතින අතර, 4.5.10 සහ 4.6.2 සංස්කරණ වලින් එය නිරාකරණය කර ඇත. ප්රතිකාරයක් ලෙස, රූප object URL ගොඩනැගීමේදී එම URL එක පූර්ණයෙන්ම අහෝසි කරන ලෙස කේතය සංශෝධනය කර ඇත.
මෙම XSS (Cross‑Site Scripting) දුර්වලතාවය පරිශීලකයන්ගේ සැසිය තුළ අහඹු JavaScript ක්රියාත්මක කර, සේවාදායකයේ API (උදා: /api/kernels) වෙත අයදුම් කරන ලෙස හැකි කරයි. ඒ නිසා, පරිශීලකයාගේ පරිසරය පූර්ණයෙන්ම පාලනයට ගැනීමට හැකියාව ලැබේ. JupyterLab බහු‑පරිශීලක පරිසරයන්හි වැඩ කරන ආයතන, විශ්වවිද්යාල, පර්යේෂණ කණ්ඩායම් සඳහා මෙය ගැඹුරු අවදානමක්.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ බහු‑විශ්වවිද්යාලය, ආරම්භක ආයතන සහ තොරතුරු විද්යා කණ්ඩායම් JupyterLab භාවිතා කරයි. මෙම දෝෂය නිසා:
- විද්යාත්මක පර්යේෂණ දත්ත හෝ කේතය අනවශ්ය ලෙස අස්ථානගත වීමේ අවදානම.
- ආයතනික JupyterHub පරිසරයන්හි අනවසර ප්රවේශය ලැබීම, රහස්ය තොරතුරු හෝ පරිශීලක ගිණුම් පාලනය අහිමි වීම.
- දැනුම සහ නිපුණතා ඉගෙනීමේ පද්ධති ආරක්ෂාව අඩු වීම, එමඟින් සිසුන්ගේ ඉගෙනුම් අත්දැකීම් බිඳ වැටීම.
ඒ නිසා, JupyterLab භාවිතා කරන සියලු සංස්ථා, විශ්වවිද්යාල පර්යේෂකයන්, සහ තාක්ෂණික ආරම්භකයන් පසුගිය යාවත්කාලීන (4.5.10 හෝ 4.6.2 හෝ ඉහල) ස්ථාපනය කර ගැනීම අත්යවශ්ය වේ. අමතරව, Content Security Policy (CSP) ක්රියාත්මක කිරීම, අවිශ්වාසනීය SVG ගොනු උඩුගත කිරීම සීමා කිරීම, සහ ‘Open image in new tab’ විකල්පය භාවිතා නොකිරීම යනාදියෙන් ආරක්ෂාව තවත් ශක්තිමත් කර ගත හැක.
JupyterLab පරිශීලකයන්ට දැන් ඉක්මනින් pip හෝ conda මඟින් නවතම සංස්කරණයට යාවත්කාලීන කර, සේවාදායකය නැවත ආරම්භ කිරීමෙන් නව ස්ථාතික ද්රව්ය සත්ය පාලනයට පත් කර ගත හැක.
