当前位置:首页 > 技术文章 > 正文内容

【安全通报】JumpServer远程命令执行漏洞

lcy2021-01-18技术文章460

2021年1月15日,百度云安全监测到JumpServer发布紧急的安全公告,修复了一处远程命令执行漏洞。由于JumpServer某些接口未进行权限限制,攻击者可以构造恶意请求获取日志文件,或者通过相关API操作控制所有机器,达到远程命令执行的目的。

漏洞风险

高危

影响版本

小于2.6.2
小于2.5.4
小于2.4.5
1.5.9

修复建议

1、将JumpServer升级至安全版本v2.4.5、v2.5.4、v2.6.2;
2、使用临时的修复解决方案,通过修改 Nginx 配置文件屏蔽如下漏洞接口:
/api/v1/authentication/connection-token/
/api/v1/users/connection-token/

相关链接

https://github.com/jumpserver/jumpserver/blob/master/README.md


 

版权声明:本文由cy's Blog发布,如需转载请注明出处。

本文链接:https://www.c3389.com/post/506.html

相关文章

2021HVV之蓝队日志分析技巧

1、识别攻击源IP在攻防演练前期,最重要的是识别出攻击方的IP并进行及时处理。攻击方源IP打出的日志通常具有以下类别及特点:扫描探测类演练期间,很多局点扫描探测类日志占所有攻击日志(IPS)的90%以...

Parallels PleskPanel 虚拟主机管理平台0day 最新漏洞

1,在http://c3389.com:8880这里,默认的管理员账户密码是admin   密码stepu2,在https://c3389.com:8443mssql版本账号 ' union...

你分得清分布式、高并发与多线程吗?

你分得清分布式、高并发与多线程吗?

当提起这三个词的时候,是不是很多人都认为分布式=高并发=多线程? 当面试官问到高并发系统可以采用哪些手段来解决,或者被问到分布式系统如何解决一致性的问题,是不是一脸懵逼? 确实,在...

Centos7.2安装部署最新版Zabbix3.4.9

一、系统环境系统环境为cat /etc/redhat-release  CentOS Linux release 7.2.1511 (Co...

64位VPS安装PHP+MYSQL环境

1.安装版本 PHP5.1/MYSQL5.0.1/ZEND3.0PHP是32位的,而IIS是64位的,不兼容,为了兼容,简单点,修改IIS,将其降为32位兼容方式运行,下降的方法是:在命令行窗口输入c...

raw虚拟机镜像转vmdk方法

raw镜像转vmdk的话有两种方法 一种是通过qemu-img来转换镜像到这里下载windows版本的qemu qemu.weilnetz.de/w64/2018/或者 https...

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法和观点。