JumpServer ws未授权访问致远程代码执行漏洞

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2021-01-26

漏洞描述

JumpServer 是全球首款完全开源的堡垒机, 使用GNU GPL v2.0 开源协议, 是符合4A 的专业运维审计系统。 JumpServer 使用Python / Django 进行开发。2021年1月15日，阿里云应急响应中心监控到开源堡垒机JumpServer发布更新，修复了一处远程命令执行漏洞。由于 JumpServer 某些接口未做授权限制，攻击者可构造恶意请求获取敏感信息，或者执行相关操作控制其中所有机器，执行任意命令。
影响版本： JumpServer < v2.6.2 JumpServer < v2.5.4 JumpServer < v2.4.5
安全版本：
JumpServer >= v2.6.2 JumpServer >= v2.5.4 JumpServer >= v2.4.5

解决建议

建议用户升级该组件至安全版本。

参考链接
https://blog.fit2cloud.com/?p=1761

阿里云评分 2.8

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• EXP成熟度 N/A
• 补丁情况 N/A
• 数据保密性 N/A
• 数据完整性 N/A
• 服务器危害 N/A
• 全网数量 N/A

CWE-ID 漏洞类型