【漏洞预警】Jumpserver<3.10.7 Jinja2注入远程代码执行漏洞CVE-2024-29202

cexlife 飓风网络安全 2024-04-01 17:51

漏洞描述:JumpServer是开源的堡垒机和运维安全审计系统,在JumpServer3.10.7之前版本中,攻击者可以通过构建恶意playbook模板利用Ansible中的Jinja2模板引擎从而在Celery容器中以root权限执行任意代码,在修复版本中,通过移除job-execution接口相关代码以修复漏洞。

影响范围:

jumpserver[3.0.0, 3.10.7)修复方案:升级jumpserver到3.10.7或更高版本在「功能设置」中关闭「任务中心」功能