1、组件介绍

Jumpserver 是全球首款完全开源、符合 4A 规范（包含认证Authentication 、授权 Authorization、账号 Accounting 和审计 Auditing）的运维安全审计系统，Jumpserver 通过软件订阅服务或者软硬件一体机的方式，向企业级用户交付多云环境下更好用的堡垒机。与传统堡垒机相比， Jumpserver 采用了分布式架构设计，支持多云环境并可灵活扩展。资产管理方面， Jumpserver 无并发和资产数量限制，支持水平扩容。Jumpserver 采用了业界领先的容器化部署方式，并且提供体验极佳的 Web Terminal 。Jumpserver 还可实现基于 Web 的文件传输，并且支持用户将运维审计录像保存在云端。

2、漏洞描述

2021年1月15日，深信服安全团队监测到JumpServer 官方发布了一则漏洞安全通告，通告披露了JumpServer 组件存在远程代码执行漏洞，漏洞等级：高危。该漏洞由于未对JumpServer 某些接口做授权限制，攻击者可利用该漏洞在未授权情况下，构造恶意数据获取服务器敏感信息，最终可造成服务器敏感性信息泄露，或者通过执行相关API操作执行任意代码，最终可控制其中所有机器。

目前受影响的JumpServer 版本：

JumpServer < v2.6.2

JumpServer < v2.5.4

JumpServer < v2.4.5

JumpServer = v1.5.9

1、官方修复建议

当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：

https://github.com/jumpserver/jumpserver/blob/master/README.md

2、临时修复建议

# 社区老版本/etc/nginx/conf.d/jumpserver.conf# 企业老版本jumpserver-release/nginx/http_server.conf# 新版本在jumpserver-release/compose/config_static/http_server.conf

### 保证在 /api 之前 和 / 之前location /api/v1/authentication/connection-token/ {   return 403;}location /api/v1/users/connection-token/ {   return 403;}### 新增以上这些location /api/ {    proxy_set_header X-Real-IP $remote_addr;    proxy_set_header Host $host;    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;    proxy_pass http://core:8080;  }

3、深信服解决方案