■ 漏洞描述
JumpServer 是全球首款完全开源的堡垒机, 使用GNU GPL v2.0 开源协议, 是符合4A 的专业运维审计系统。JumpServer 使用Python / Django 进行开发。2021年1月15日，开源堡垒机JumpServer发布更新，修复了一处远程命令执行漏洞。由于 JumpServer 某些接口未做授权限制，攻击者可构造恶意请求获取到日志文件获取敏感信息，或者执行相关API操作控制其中所有机器，执行任意命令。
 
■ 影响范围
JumpServer < v2.6.2
JumpServer < v2.5.4
JumpServer < v2.4.5
JumpServer = v1.5.9
JumpServer >= v1.5.3
 
■ 漏洞检测
版本号比对
 
■ 漏洞修复
升级 JumpServer 至最新版本
 
■ 临时修复
修改 Nginx 配置文件屏蔽漏洞接口：
/api/v1/authentication/connection-token/
/api/v1/users/connection-token/
 
■ 漏洞详情
https://github.com/jumpserver/jumpserver