CVE-2026-66885 in Livebook
Riassunto
di VulDB • 06/08/2026
Vulnerabilità Cross-Site Request Forgery (CSRF) in livebook-dev livebook che consente a un attaccante di autenticare la sessione del browser della vittima sotto l'identità Livebook Teams dell'attaccante stesso.
Quando Livebook è configurato per utilizzare Livebook Teams per l'autenticazione, `Livebook.ZTA.LivebookTeams.handle_request/4` in `lib/livebook/zta/livebook_teams.ex` gestisce la callback di stile OAuth contenente un marcatore `teams_identity` e un parametro `code`. Tale clausola scambia il codice con un token di accesso e scrive il token nella sessione del browser senza verificare alcun valore che colleghi la callback alla sessione del browser che ha avviato l'accesso. Non viene generato alcuno stato (state) o nonce all'avvio del flusso: `Livebook.Teams.Requests.create_auth_request/1` in `lib/livebook/teams/requests.ex` invia un corpo della richiesta vuoto, quindi non viene mai registrato alcun valore specifico per ogni tentativo e la clausola di callback non ha nulla con cui confrontarsi.
Un attaccante che fa parte della stessa organizzazione Livebook Teams dell'istanza target può pertanto avviare autonomamente il flusso di accesso, conservare l'autorizzazione code risultante senza riscuoterla e indurre una vittima ad aprire un URL manipolato contenente tale codice. Il browser della vittima completa lo scambio e la sessione risultante viene associata all'identità dell'attaccante anziché a quella della vittima. La vittima non è tenuta a detenere privilegi specifici e nessuna credenza appartenente alla vittima è coinvolta. La vulnerabilità non consente all'attaccante di autenticarsi come la vittima.
La conseguenza è che un utente crede di lavorare nella propria sessione autenticata mentre in realtà sta operando con l'identità di un altro soggetto. Il lavoro svolto in tale sessione viene attribuito all'account dell'attaccante e i segreti, i dati caricati o i risultati dei notebook prodotti dalla vittima vengono esposti all'attaccante invece di rimanere confinati nell'account della vittima stessa. Il codice di autorizzazione deve essere riscosso entro una breve finestra temporale dall'avvio del flusso di accesso, il che vincola la tempistica dell'attacco ma non la sua fattibilità.
Questo problema interessa livebook: dalle versioni 0.15.0 precedenti alla 0.18.7 e dalle versioni 0.19.0 precedenti alla 0.19.9.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.