2021年1月15日，阿里云应急响应中心监控到开源堡垒机JumpServer发布更新，修复了一处远程命令执行漏洞。

漏洞描述

JumpServer 是全球首款完全开源的堡垒机, 使用GNU GPL v2.0 开源协议, 是符合4A 的专业运维审计系统。 JumpServer 使用Python / Django 进行开发。2021年1月15日，阿里云应急响应中心监控到开源堡垒机JumpServer发布更新，修复了一处远程命令执行漏洞。由于 JumpServer 某些接口未做授权限制，攻击者可构造恶意请求获取敏感信息，或者执行相关操作控制其中所有机器，执行任意命令。阿里云应急响应中心提醒 JumpServer 用户尽快采取安全措施阻止漏洞攻击。

影响版本

JumpServer < v2.6.2

JumpServer < v2.5.4

JumpServer < v2.4.5

JumpServer = v1.5.9

安全版本

JumpServer >= v2.6.2

JumpServer >= v2.5.4

JumpServer >= v2.4.5

安全建议

1、升级 JumpServer 至最新版本。

2、设置当前产品的控制台登录IP地址白名单限制。

3、可参考《重要通知｜JumpServer漏洞通知及修复方案》修改Nginx配置文件，以屏蔽漏洞接口 ：

• /api/v1/authentication/connection-token/

• /api/v1/users/connection-token/

相关链接

https://github.com/jumpserver/jumpserver/blob/master/README.md

阿里云云安全中心应急漏洞模块已支持对该漏洞一键检测
阿里云云防火墙已可防御此漏洞攻击

我们会关注后续进展，请随时关注官方公告。

如有任何问题，可随时通过工单或服务电话95187联系反馈。

阿里云应急响应中心

2021.01.15