jumpserver 远程代码执行漏洞 -正规网赌十大娱乐棋牌

1、组件介绍

jumpserver 是全球首款完全开源、符合 4a 规范（包含认证authentication 、授权 authorization、账号 accounting 和审计 auditing）的运维安全审计系统，jumpserver 通过软件订阅服务或者软硬件一体机的方式，向企业级用户交付多云环境下更好用的堡垒机。与传统堡垒机相比， jumpserver 采用了分布式架构设计，支持多云环境并可灵活扩展。资产管理方面， jumpserver 无并发和资产数量限制，支持水平扩容。jumpserver 采用了业界领先的容器化部署方式，并且提供体验极佳的 web terminal 。jumpserver 还可实现基于 web 的文件传输，并且支持用户将运维审计录像保存在云端。

2、漏洞描述

2021年1月15日，深信服安全团队监测到jumpserver 官方发布了一则漏洞安全通告，通告披露了jumpserver 组件存在远程代码执行漏洞，漏洞等级：高危。该漏洞由于未对jumpserver 某些接口做授权限制，攻击者可利用该漏洞在未授权情况下，构造恶意数据获取服务器敏感信息，最终可造成服务器敏感性信息泄露，或者通过执行相关api操作执行任意代码，最终可控制其中所有机器。

目前受影响的jumpserver 版本：

jumpserver < v2.6.2

jumpserver < v2.5.4

jumpserver < v2.4.5

jumpserver = v1.5.9

1、官方修复建议

当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：

2、临时修复建议

# 社区老版本/etc/nginx/conf.d/jumpserver.conf# 企业老版本jumpserver-release/nginx/http_server.conf# 新版本在jumpserver-release/compose/config_static/http_server.conf

### 保证在 /api 之前 和 / 之前location /api/v1/authentication/connection-token/ {   return 403;}location /api/v1/users/connection-token/ {   return 403;}### 新增以上这些location /api/ {    proxy_set_header x-real-ip $remote_addr;    proxy_set_header host $host;    proxy_set_header x-forwarded-for $proxy_add_x_forwarded_for;    proxy_pass http://core:8080;  }

3、深信服正规网赌十大娱乐棋牌的解决方案