Hugo Baraúna

**Nome do Software Vulnerável e Versões Afetadas** livebook versões 0.15.0 a 0.18.6 livebook versões 0.19.0 a 0.19.8 **Description** Um problema de Cross-Site Request Forgery (CSRF) ocorre quando o Livebook é configurado para usar o Livebook Teams para identidade. A função `handle request/4` em `lib/livebook/zta/livebook teams.ex` processa callbacks do tipo OAuth que contêm um marcador `teams identity` e um parâmetro `code`. Como a função `create auth request/1` em `lib/livebook/teams/requests.ex` não gera um estado ou nonce, o sistema não consegue verificar se o callback corresponde à sessão que iniciou o login. Um atacante na mesma organização do Livebook Teams pode iniciar um fluxo de login, capturar o código de autorização e induzir uma vítima a abrir uma URL contendo esse código. Isso faz com que a sessão da vítima seja vinculada à identidade do atacante. Consequentemente, qualquer trabalho, segredo ou dado produzido pela vítima é atribuído e acessível ao atacante, enquanto a vítima acredita estar usando sua própria conta. **Recommendations** Atualizar as versões do livebook de 0.15.0 a 0.18.6 para a versão 0.18.7. Atualizar as versões do livebook de 0.19.0 a 0.19.8 para a versão 0.19.9.

**Nome do Software Vulnerável e Versões Afetadas** livebook versões 0.19.7 até 0.19.8 **Descrição** Uma falha de segurança do tipo failing open no livebook permite que um cliente de rede não autenticado obtenha acesso total a um servidor que impõe a identidade por meio do Livebook Teams. Isso ocorre quando um Agente Livebook ou Servidor de Aplicativo armazena em cache um identificador de grupo de implantação que se torna irresolvível, como quando o grupo é excluído enquanto o agente está desconectado. A função `handle call/3` em `lib/livebook/hubs/team client.ex` não distingue entre um grupo irresolvível e um onde a imposição de identidade está desativada, levando o sistema a relatar que a imposição foi desligada. Consequentemente, a função `authenticate/3` em `lib/livebook/zta/livebook teams.ex` retorna metadados de identidade vazios, que o `build current user/3` no `LivebookWeb.UserPlug` mescla em um novo usuário com acesso total padrão. Este acesso é então concedido por `authorized?/1` no `LivebookWeb.AuthPlug`. Um invasor pode explorar isso para ler notebooks e segredos, executar código no runtime do servidor e interromper as operações. **Recomendações** Atualize o livebook para a versão 0.19.9 ou posterior.