漏洞描述:
JumpServer是开源的堡垒机和运维安全审计系统,在JumpServer3.10.7之前版本中,攻击者可以通过构建恶意playbook模板利用Ansible中的Jinja2模板引擎从而在Celery容器中以root权限执行任意代码,在修复版本中,通过移除job-execution接口相关代码以修复漏洞。
影响范围:
jumpserver[3.0.0, 3.10.7)
修复方案:
升级jumpserver到3.10.7或更高版本
在「功能设置」中关闭「任务中心」功能
原文始发于微信公众号（飓风网络安全）：【漏洞预警】Jumpserver<3.10.7 Jinja2注入远程代码执行漏洞CVE-2024-29202
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论