【误差通告】JumpServer远程下令执行误差
宣布时间 2021-01-150x00 误差概述
CVE ID | 时 间 | 2021-01-15 | |
类 型 | 下令执行 | 等 级 | 高危 |
远程使用 | 是 | 影响规模 |
0x01 误差详情
JumpServer 是全球首款开源的堡垒机，由Python/Django 开发，使用 GNU GPL v2.0 开源协议, 是切合 4A 的专业运维审计系统。别的，JumpServer遵照 Web 2.0 规范, 配备了业界领先的 Web Terminal 解决计划，交互界面雅观且用户体验好。
2021年01月15日，JumpServer宣布清静更新，修复了JumpServer中的一个远程下令执行误差。
该误差是JumpServer 某些接口未做授权限制，攻击者可通过发送恶意请求来获取敏感信息，或通过执行API操作控制其中所有机械、执行恣意下令等。
影响规模
JumpServer < v2.6.2
JumpServer < v2.5.4
JumpServer < v2.4.5
JumpServer = v1.5.9
0x02 处置惩罚建议
现在该误差已被修复，建议升级至如下版本：
JumpServer >= v2.6.2
JumpServer >= v2.5.4
JumpServer >= v2.4.5
下载链接：
https://github.com/jumpserver/jumpserver/releases
暂时修复计划：
修改 Nginx 设置文件屏障误差接口：
/api/v1/authentication/connection-token/
/api/v1/users/connection-token/
Nginx 设置文件位置：
社区老版本：
/etc/nginx/conf.d/jumpserver.conf
企业老版本：
jumpserver-release/nginx/http_server.conf
新版本：
jumpserver-release/compose/config_static/http_server.conf
修改 Nginx 设置文件实例：
2.X:
### 在/api 之前：
location /api/v1/authentication/connection-token/ {
return 403;
}
location /api/v1/users/connection-token/ {
return 403;
}
### 新增以上这些
location /api/ {
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://core:8080;
}
...
1.5.X：
### 在/之前
location /api/v1/authentication/connection-token/ {
return 403;
}
location /api/v1/users/connection-token/ {
return 403;
}
### 新增以上这些
location /{
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://core:8080;
}
...
修改完成后重启 nginx：
docker:
docker restart jms_nginx
nginx:
systemctl restart nginx
0x03 参考链接
https://github.com/jumpserver/jumpserver/blob/master/README.md
https://github.com/jumpserver/jumpserver/releases
https://mp.weixin.qq.com/s/5tgcaIrnDnGP-LvWPw9YCg
0x04 时间线
2021-01-15 JumpServer宣布清静更新
2021-01-15 VSRC宣布清静通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号