Vulnerabilidad en JupyterHub (CVE-2024-41942)

JupyterHub es un software que permite crear un servidor multiusuario para portátiles Jupyter. Antes de las versiones 4.1.6 y 5.1.0, si a un usuario se le otorgaba el alcance `admin:users`, podía escalar sus propios privilegios convirtiéndose en un usuario administrador completo. El impacto es relativamente pequeño en el sentido de que "admin:users" ya es un ámbito extremadamente privilegiado que solo se otorga a usuarios confiables. En efecto, `admin:users` es equivalente a `admin=True`, lo cual no es lo previsto. Tenga en cuenta que el cambio aquí solo evita la escalada al rol de administrador integrado de JupyterHub que tiene permisos sin restricciones. No impide que los usuarios con, por ejemplo, permisos de "grupos" se otorguen permisos a sí mismos o a otros usuarios a través de la membresía en un grupo, lo cual es intencional. Las versiones 4.1.6 y 5.1.0 solucionan este problema.