Vulnerabilidad en livebook de livebook-dev (CVE-2026-68746)

Vulnerabilidad de “fallo abierto” (no fallar de forma segura) en livebook-dev livebook permite a un cliente de red no autenticado obtener acceso completo a un servidor Livebook que aplica la identidad a través de Livebook Teams.<br /> <br /> Un Agente Livebook o Servidor de Aplicaciones conectado a Livebook Teams almacena en caché el identificador del grupo de despliegue al que pertenece, y resuelve ese identificador contra una lista de grupos de despliegue almacenada localmente en caché en cada solicitud para decidir si la aplicación de identidad de Teams está activa. Livebook.Hubs.TeamClient.handle_call/3 en lib/livebook/hubs/team_client.ex no distingue un grupo de despliegue que no pudo ser resuelto de uno que fue resuelto con la aplicación de identidad desactivada: la cláusula coincide solo con el caso en que se encontró un grupo con la aplicación habilitada, y pasa a una cláusula de captura general que informa la aplicación como desactivada para todo lo demás. Las dos funciones adyacentes que deciden el acceso de usuario y aplicación resuelven el mismo identificador y tratan el mismo resultado no resuelto como una denegación.<br /> <br /> Cuando el estado de identidad se informa como desactivado, Livebook.ZTA.LivebookTeams.authenticate/3 en lib/livebook/zta/livebook_teams.ex devuelve metadatos de identidad vacíos y permite que la solicitud continúe en lugar de detenerla. LivebookWeb.UserPlug.build_current_user/3 fusiona esos metadatos vacíos en un usuario recién construido, cuyo tipo de acceso por defecto es acceso completo, y LivebookWeb.AuthPlug.authorized?/1 otorga acceso a cualquier usuario que posea acceso completo.<br /> <br /> El identificador almacenado en caché se vuelve irresoluble cuando el grupo de despliegue al que se refiere es eliminado mientras el agente no está conectado para recibir el cambio, más concretamente cuando un grupo de despliegue es eliminado durante la ventana en la que un agente está desconectado o reconectándose. El cliente elimina el grupo de su lista almacenada en caché sin borrar el identificador que se refiere a él. Cualquier cliente capaz de alcanzar el servidor afectado a través de la red se le concede entonces el mismo acceso que a un miembro con plenos privilegios de la organización, incluyendo la capacidad de leer cuadernos y secretos configurados, ejecutar código en el entorno de ejecución del servidor, y perturbar su funcionamiento.<br /> <br /> Este problema afecta a livebook: desde 0.19.7 antes de 0.19.9.