【缝隙公告】JumpServer远程号令执行缝隙
颁布功夫 2021-01-150x00 缝隙概述
CVE ID | 时 间 | 2021-01-15 | |
类 型 | 号令执行 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 |
0x01 缝隙详情
JumpServer 是全球首款开源的碉堡机，由Python/Django 开发，使用 GNU GPL v2.0 开源和谈, 是切合 4A 的专业运维审计系统。此表，JumpServer遵循 Web 2.0 规范, 建设了业界当先的 Web Terminal 解决规划，交互界面美观且用户履历好。
2021年01月15日，JumpServer颁布安全更新，建复了JumpServer中的一个远程号令执行缝隙。
该缝隙是JumpServer 某些接口未做授权限度，攻击者可通过发送恶意要求来获取敏感信息，或通过执行API操作节造其中所有机械、执行肆意号令等。
影响领域
JumpServer < v2.6.2
JumpServer < v2.5.4
JumpServer < v2.4.5
JumpServer = v1.5.9
0x02 措置建议
目前该缝隙已被建复，建议升级至如下版本：
JumpServer >= v2.6.2
JumpServer >= v2.5.4
JumpServer >= v2.4.5
下载链接：
https://github.com/jumpserver/jumpserver/releases
一时建复规划：
批改 Nginx 配置文件屏蔽缝隙接口：
/api/v1/authentication/connection-token/
/api/v1/users/connection-token/
Nginx 配置文件地位：
社区老版本：
/etc/nginx/conf.d/jumpserver.conf
企衣废版本：
jumpserver-release/nginx/http_server.conf
新版本：
jumpserver-release/compose/config_static/http_server.conf
批改 Nginx 配置文件事俘：
2.X:
### 在/api 之前：
location /api/v1/authentication/connection-token/ {
return 403;
}
location /api/v1/users/connection-token/ {
return 403;
}
### 新增以上这些
location /api/ {
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://core:8080;
}
...
1.5.X：
### 在/之前
location /api/v1/authentication/connection-token/ {
return 403;
}
location /api/v1/users/connection-token/ {
return 403;
}
### 新增以上这些
location /{
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://core:8080;
}
...
批改实现后沉启 nginx：
docker:
docker restart jms_nginx
nginx:
systemctl restart nginx
0x03 参考链接
https://github.com/jumpserver/jumpserver/blob/master/README.md
https://github.com/jumpserver/jumpserver/releases
https://mp.weixin.qq.com/s/5tgcaIrnDnGP-LvWPw9YCg
0x04 功夫线
2021-01-15 JumpServer颁布安全更新
2021-01-15 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号