JumpServer CVE-2023-42442 未授权访问漏洞通告

Release Date ： 2023-09-27 10:26:40 Update Date ： 2023-09-27 10:26:15 Author ：

【Abstract】近日，华为感知到JumpServer中修复了一个未授权访问漏洞(CVE-2023-42442)。此漏洞是由于应用程序没有对用户权限进行正确校验导致的，远程且未经身份认证的攻击者可以通过利用此漏洞获取敏感信息。

漏洞概述

近日，华为感知到JumpServer中修复了一个未授权访问漏洞(CVE-2023-42442)。此漏洞是由于应用程序没有对用户权限进行正确校验导致的，远程且未经身份认证的攻击者可以通过利用此漏洞获取敏感信息。

JumpServer 是一款广受欢迎的开源堡垒机，可以帮助企业以更安全的方式管控和登录所有类型的资产。鉴于此漏洞危害严重且影响范围较大，建议广大用户及时参考厂商提供的解决方案做好风险排查及防护，避免遭受黑客的攻击。

关键信息

标题	内容
漏洞编号	CVE-2023-42442
评分	5.3(CVSS 3.1)
漏洞名称	JumpServer CVE-2023-42442 未授权访问漏洞
类型	未授权访问
漏洞利用条件和危害	远程攻击者可以通过向目标服务器发送精心构造的请求来利用此漏洞。成功利用此漏洞会导致攻击者获取敏感信息。
远程利用	是
攻击复杂度	低
PoC/EXP	已公开
在野利用	尚未发现

受影响的版本

- 3.0.0 <= JumpServer < 3.5.5

- 3.6.0 <= JumpServer < 3.6.4

解决方案

1. 华为解决方案

华为在感知到该漏洞信息以后，安全研究人员持续关注此漏洞相关信息，复现漏洞PoC（Proof-of-Concept），并立即开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。

标题	内容	备注
IPS签名库版本	20230920**	**：代表不同型号库的编码，日期比这个新的版本都可以防护此漏洞
签名ID	740690: JumpServer CVE-2023-42442 未授权访问漏洞
支持的设备类型	USG 6000/6000E/9000系列，Eudemon 1000E/8000E/9000E系列，NIP6000系列，IPS6000/12000以上系列产品	具体情况，请参考IPS签名库下载网址
设备自动升级	联网设备可以自动升级，无需人工操作	可以在设备上查看IPS签名库版本是否已经升级到最新。
设备手动升级	从https://isecurity.huawei.com/sec/web/freesignature.do网站下载对应的离线升级包，手工加载到设备。

2. 厂商解决方案

升级软件版本到官网最新（已修复）版本：

https://github.com/jumpserver/jumpserver/releases

参考链接

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-42442

【Copyright Notice】 This article is the original content of HUAWEI Security Center. When reprinting, you must indicate the source (HUAWEI Security Center), link and author of the article, otherwise you may be held liable.If you find any suspected infringing content on this website, please visit the Feedback page to report and provide relevant evidence. Once verified, we will immediately remove the allegedly infringing content.

BackTop

Comment

0	0
Like	Disagree

Security Notice

Research

Signature Update

Knowledge Base Query

Intelligence Query

FireHunter-Cloud FireHunter-Cloud

My Device

Support

JumpServer CVE-2023-42442 未授权访问漏洞通告

漏洞概述

关键信息

受影响的版本

解决方案

参考链接