【漏洞通告】JumpServer远程命令执行漏洞
发布时间 2021-01-150x00 漏洞概述
CVE ID | 时 间 | 2021-01-15 | |
类 型 | 命令执行 | 等 级 | 高危 |
远程利用 | 是 | 影响范围 |
0x01 漏洞详情
JumpServer 是全球首款开源的堡垒机,由Python/Django 开发,使用 GNU GPL v2.0 开源协议, 是符合 4A 的专业运维审计系统。此外,JumpServer遵循 Web 2.0 规范, 配备了业界领先的 Web Terminal 解决方案,交互界面美观且用户体验好。
2021年01月15日,JumpServer发布安全更新,修复了JumpServer中的一个远程命令执行漏洞。
该漏洞是JumpServer 某些接口未做授权限制,攻击者可通过发送恶意请求来获取敏感信息,或通过执行API操作控制其中所有机器、执行任意命令等。
影响范围
JumpServer < v2.6.2
JumpServer < v2.5.4
JumpServer < v2.4.5
JumpServer = v1.5.9
0x02 处置建议
目前该漏洞已被修复,建议升级至如下版本:
JumpServer >= v2.6.2
JumpServer >= v2.5.4
JumpServer >= v2.4.5
下载链接:
https://github.com/jumpserver/jumpserver/releases
临时修复方案:
修改 Nginx 配置文件屏蔽漏洞接口:
/api/v1/authentication/connection-token/
/api/v1/users/connection-token/
Nginx 配置文件位置:
社区老版本:
/etc/nginx/conf.d/jumpserver.conf
企业老版本:
jumpserver-release/nginx/http_server.conf
新版本:
jumpserver-release/compose/config_static/http_server.conf
修改 Nginx 配置文件实例:
2.X:
### 在/api 之前:
location /api/v1/authentication/connection-token/ {
return 403;
}
location /api/v1/users/connection-token/ {
return 403;
}
### 新增以上这些
location /api/ {
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://core:8080;
}
...
1.5.X:
### 在/之前
location /api/v1/authentication/connection-token/ {
return 403;
}
location /api/v1/users/connection-token/ {
return 403;
}
### 新增以上这些
location /{
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://core:8080;
}
...
修改完成后重启 nginx:
docker:
docker restart jms_nginx
nginx:
systemctl restart nginx
0x03 参考链接
https://github.com/jumpserver/jumpserver/blob/master/README.md
https://github.com/jumpserver/jumpserver/releases
https://mp.weixin.qq.com/s/5tgcaIrnDnGP-LvWPw9YCg
0x04 时间线
2021-01-15 JumpServer发布安全更新
2021-01-15 VSRC发布安全通告
0x05 附录
CVSS评分标准官网:http://www.first.org/cvss/