Vulnerabilidad en Oauthenticator (CVE-2022-31027)

OAuthenticator es una biblioteca de tokens OAuth para el administrador de inicio de sesión de JupyerHub. CILogonOAuthenticator es proporcionado por el paquete OAuthenticator, y permite a usuarios iniciar sesión en un JupyterHub por medio de CILogon. Es usado principalmente para restringir un JupyterHub sólo a usuarios de un determinado instituto. El rasgo de configuración allowed_idps de CILogonOAuthenticator está documentado para ser una lista de dominios que indican las instituciones cuyos usuarios están autorizados a acceder a este JupyterHub. Esta autorización es comprobada al asegurarse de que el campo *email* que nos proporciona CILogon presenta un *dominio* que coincide con uno de los dominios listados en "allowed_idps".Si "allowed_idps" contiene "berkeley.edu", se podría esperar que sólo usuarios con credenciales válidas actuales proporcionadas por la Universidad de California, Berkeley, puedan acceder al JupyterHub. Sin embargo, CILogonOAuthenticator *no* verifica qué proveedor usa el usuario para iniciar sesión, sólo la dirección de correo electrónico proporcionada. Así que un usuario puede iniciar sesión con una cuenta de GitHub que tenga el correo electrónico configurado como "(something)@berkeley.edu", y eso será tratado exactamente igual que alguien que inicie sesión usando el proveedor de identidad oficial de UC Berkeley. El parche que corrige este problema hace un *cambio radical* en la interpretación de "allowed_idps". Ya no es una lista de dominios, sino una configuración que representa el "EntityID" de los IdPs que están permitidos, escogidos de la [lista mantenida por CILogon](https://cilogon.org/idplist/). Es recomendado a usuarios actualizar