Jumpserver受控服务器任意命令执行漏洞通告

2021-01-18 17:08

报告编号：B6-2021-011802

报告来源：360CERT

报告作者：360CERT

更新日期：2021-01-20

0x01漏洞简述

2021年01月18日，360CERT监测发现Jumpserver发布了远程命令执行漏洞的风险通告，漏洞等级：高危，漏洞评分：8.5。

Jumpserver中存在一处受控服务器远程任意命令执行漏洞，该漏洞由多处漏洞导致。

对此，360CERT建议广大用户好资产自查以及预防工作，以免遭受黑客攻击。

0x02风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	高危
影响面	一般
360CERT评分	8.5

0x03修复建议

通用修补建议

升级到以下安全版本

->= v2.6.2

->= v2.5.4

->= v2.4.5

-= v1.5.9（版本号没变）

-< v1.5.3

临时修补建议

修改 nginx 配置文件屏蔽收到影响的接口

jumpservernginx 配置文件位置

# 社区老版本
/etc/nginx/conf.d/jumpserver.conf

# 企业老版本
jumpserver-release/nginx/http_server.conf
# 新版本在 
jumpserver-release/compose/config_static/http_server.conf

### 保证在 /api 之前 和 / 之前
location /api/v1/authentication/connection-token/ {
   return 403;
}
location /api/v1/users/connection-token/ {
   return 403;
}
### 新增以上这些
location /api/ {
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_pass http://core:8080;
  }
...