当前位置： 首页 > news >正文

漏洞复现-CVE-2023-42442：JumpServer未授权访问漏洞

news 2026/2/10 7:31:10

概述

JumpServer存在一个未授权访问漏洞。具体来说，/api/v1/terminal/sessions/ API端点的权限控制存在逻辑错误，允许攻击者匿名访问。未经身份验证的远程攻击者可以利用此漏洞下载SSH日志，并可能借此远程窃取敏感信息。值得注意的是，存储在S3、OSS或其他云存储中的SSH会话不受此漏洞影响。

影响范围

组件

影响版本

安全版本

JumpServer:JumpServer

3.0.0 - 3.5.4

>= 3.5.5

JumpServer:JumpServer

3.6.0 - 3.6.3

>= 3.6.4

修复建议

  1. 尽快升级JumpServer至安全版本，即版本3.5.5或3.6.4及以上。
  2. 对于无法立即升级的环境，建议禁止访问~/session路径，以防止潜在的攻击。

实际影响

官方修复分析

根据JumpServer的GitHub提交0a58bba59cd275bab8e0ae58bf4b359fbc5eb74a，官方从代码中移除了permissions.BasePermission。

在Django框架中，permissions.BasePermission是一个基础权限类，用于定义特定的权限逻辑。它提供了一个方法供开发者覆盖，以确定请求是否有权执行某个操作。如果不正确使用或误配置，可能导致权限控制上的缺陷。JumpServer在此次修复中移除了对该类的引用，很可能是为了修复前述的未授权访问问题。

相关文章：

漏洞复现-CVE-2023-42442：JumpServer未授权访问漏洞

概述 JumpServer存在一个未授权访问漏洞。具体来说，/api/v1/terminal/sessions/ API端点的权限控制存在逻辑错误，允许攻击者匿名访问。未经身份验证的远程攻击者可以利用此漏洞下载SSH日志，并可能借此远程窃取敏感信息。值得注意的是&#x…...

编程日记 2024/8/12 19:50:40

【数据结构之带头双向循环链表的实现】

1.链表的分类 链表的结构有多种多样，以下情况组合起来就有8种（2x2x2）链表结构： 虽然有这么多的链表结构，但是我们实际中最常用的还是两种结构：单链表和双向带头循环链表。 无头单向非循环链表：结…...

编程日记 2024/8/12 19:49:39

【docker】docker数据卷与网络部署服务

Docker 网络模式 选择网络模式 Host Mode (主机模式) 特点: 容器与宿主机共享网络命名空间操作: docker run --nethost ... Container Mode (容器模式) 特点: 容器与指定容器共享网络命名空间操作: docker run --netcontainer:<container-id-or-name> ... None Mode (无…...

编程日记 2024/8/12 19:47:37

Spring MVC框架学习笔记

学习视频:10001 Spring MVC概述_哔哩哔哩_bilibili~11005 请求映射方式_哔哩哔哩_bilibili 目录 1.概述 Java EE三层架构 Spring MVC在三层架构中的位置 ​编辑 Spring MVC在表现层的作用 Spring MVC的特点 2.Spring MVC入门程序 代码实现 Spring MVC工作原理 Spring …...

编程日记 2024/8/12 19:45:36

LeetCode 100道题目和答案（面试必备）（一）

1.两数之和 给定一个整数数组 nums 和一个整数目标值 target&#xff0c;请你在该数组中找出 和为目标值 target 的那 两个 整数&#xff0c;并返回它们的数组下标。 你可以假设每种输入只会对应一个答案。但是&#xff0c;数组中同一个元素在答案里不能重复出现。 你可以按…...

编程日记 2024/8/12 19:44:35

OpenGL投影矩阵

OpenGL Projection Matrix OpenGL投影矩阵...

编程日记 2024/8/12 19:43:34

Linux中的`make`与`Makefile`：项目自动化构建工具

Linux中的make与Makefile&#xff1a;项目自动化构建工具 在Linux及类Unix系统中&#xff0c;make是一种广泛使用的自动化构建工具&#xff0c;它通过读取和执行Makefile&#xff08;或makefile&#xff0c;文件名不区分大小写&#xff09;中的指令来自动化编译和构建程序。Ma…...

编程日记 2024/8/12 19:42:33

GitHub开源项目精选：轻量级预约/预订日历组件，用React和TypeScript构建

在日常开发中&#xff0c;我们经常需要在项目中添加预约或预订功能。今天给大家推荐一个超级轻量级的预约/预订日历组件&#xff0c;它是用React和TypeScript构建的&#xff0c;非常适合那些需要简单易用的日历解决方案的开发者。 安装方法&#xff1a; 你可以选择使用npm或者y…...

编程日记 2024/8/12 19:40:31

闲钱放在哪里？收益稳定且又高！

家庭理财&#xff0c;最大的问题就是&#xff0c;手里这点闲钱&#xff0c;说多不多&#xff0c;但打理起来&#xff0c;还真的很”挠头“。 放银行&#xff0c;存款利率接二连三下调&#xff0c;利息又又又要变少了&#xff01; 投资出去&#xff0c;看着到处的雷声隆隆&…...

编程日记 2024/8/12 19:39:30

【Linux】简易线程池项目

线程池是一个可以巩固一些线程相关接口 && 加强理解的一个小项目。 注意&#xff1a;这里的线程池使用的线程并不是Linux原生接口&#xff0c;而是经过封装的&#xff0c;具体请看线程封装&#xff0c;为什么不使用原生接口&#xff1f; 因为原生接口一旦进行pthread…...

编程日记 2024/8/12 19:38:29

基于vue框架的NBA球星管理系统1878g（程序+源码+数据库+调试部署+开发环境）系统界面在最后面。

系统程序文件列表 项目功能&#xff1a;用户,球员,球员数据,榜单类型,联盟榜单,重要比赛回放,精彩时刻视频,视频专栏,本赛季赛程,十佳球,投票信息,投票结果 开题报告内容 基于Vue框架的NBA球星管理系统 开题报告 一、选题背景 随着互联网的普及和体育产业的蓬勃发展&#x…...

编程日记 2024/8/12 19:37:28

【docker】Dockerfile练习

1、overlay文件系统原理测试 cd /mnt mkdir A B C worker merged echo "From A">./A/a.txt echo "From A">./A/b.txt echo "From A">./A/c.txt echo "From B">./B/a.txt echo "From B">./B/d.txt echo &quo…...

编程日记 2024/8/12 19:36:27

数据可视化的魔法：Python Matplotlib库的奇妙之旅

标题&#xff1a;数据可视化的魔法&#xff1a;Python Matplotlib库的奇妙之旅 在数据科学和分析领域&#xff0c;数据可视化是一种将复杂数据转换为图形表示的强有力工具&#xff0c;它可以帮助我们更直观地理解数据。Python中的Matplotlib库是进行数据可视化的瑞士军刀&…...

编程日记 2024/8/12 19:35:26

Python数据科学的秘密武器：Pandas库的深度解析

标题&#xff1a;Python数据科学的秘密武器&#xff1a;Pandas库的深度解析 Python作为数据科学领域的宠儿&#xff0c;其强大的数据处理能力离不开Pandas库的加持。Pandas是一个开源的数据分析和操作库&#xff0c;它提供了快速、灵活和表达力强的数据结构&#xff0c;旨在使…...

编程日记 2024/8/12 19:30:22

云计算实训24——python基本环境搭建、变量和数据类型、数据集合、py脚本

一、python环境搭建 确保拥有阿里云镜像 查看python环境 [rootpython ~]# yum list installed | grep python 查看epel是否安装 [rootpython ~]# yum list installed | grep epel 安装epel [rootpython ~]# yum -y install epel-release.noarch 查看是否安装python3 [rootpyt…...

编程日记 2024/8/12 19:28:20

深入了解网络性能监控（NPM）：优化网络性能的关键

目录 网络性能监控&#xff08;NPM&#xff09;是什么&#xff1f; 关键网络性能指标 案例分享&#xff1a;如何利用NPM优化网络性能 实用技巧&#xff1a;如何高效运维你的网络 结论 随着企业依赖于互联网和内部网络进行业务运营&#xff0c;网络的稳定性和性能显得尤为重…...

编程日记 2024/8/12 19:27:19

Vue引入使用iconfont字体图标

由于element-ui或element-plus提供的图标有时候并不能满足日常需求，所以这篇介绍一下前端引入阿里巴巴矢量图标库使用，不止是vue使用，不限于vue2、vue3，html或是其他框架也是同样的道理，只要引入都是同样可以使用的。 1. 首先进入阿里巴巴矢量图标库官网 官网：https://…...

编程日记 2024/8/12 19:25:17

Doc2Vec

Doc2Vec 是一种扩展自 Word2Vec 的算法&#xff0c;它不仅可以生成词向量&#xff0c;还可以生成句子或文档的向量。下面是一个使用 Doc2Vec 比较两个句子的具体过程&#xff1a; 步骤 1: 训练 Doc2Vec 模型 首先&#xff0c;你需要有一个训练好的 Doc2Vec 模型。训练过程大致…...

编程日记 2024/8/12 19:23:15

MES生产过程透明管理，实施掌握生产每个环节

MES&#xff08;制造执行系统&#xff09;生产过程透明管理&#xff0c;旨在通过集成多种技术手段和管理模块&#xff0c;实现对生产过程的实时监控和精准掌握&#xff0c;确保每个生产环节都能被清晰地记录和追踪。以下是对MES生产过程透明管理的详细阐述&#xff1a; 一、MES…...

编程日记 2024/8/12 19:22:14

Java解析压缩包，并根据指定文件夹上传文件

方法 public Multimap<String, String> getCodeBucketMultimap(HttpServletRequest request)throws IOException {MultipartHttpServletRequest multiRequest (MultipartHttpServletRequest) request;// 基于servlet获取文件流List<MultipartFile> multipartFile…...

编程日记 2024/8/12 19:20:12

国防科技大学计算机基础课程笔记02信息编码

1.机内码和国标码 国标码就是我们非常熟悉的这个GB2312,但是因为都是16进制&#xff0c;因此这个了16进制的数据既可以翻译成为这个机器码&#xff0c;也可以翻译成为这个国标码&#xff0c;所以这个时候很容易会出现这个歧义的情况&#xff1b; 因此&#xff0c;我们的这个国…...

编程新知 2026/2/8 4:37:15

IGP（Interior Gateway Protocol，内部网关协议）

IGP&#xff08;Interior Gateway Protocol&#xff0c;内部网关协议&#xff09; 是一种用于在一个自治系统&#xff08;AS&#xff09;内部传递路由信息的路由协议&#xff0c;主要用于在一个组织或机构的内部网络中决定数据包的最佳路径。与用于自治系统之间通信的 EGP&…...

编程新知 2025/10/12 11:54:26

解锁数据库简洁之道：FastAPI与SQLModel实战指南

在构建现代Web应用程序时&#xff0c;与数据库的交互无疑是核心环节。虽然传统的数据库操作方式&#xff08;如直接编写SQL语句与psycopg2交互&#xff09;赋予了我们精细的控制权&#xff0c;但在面对日益复杂的业务逻辑和快速迭代的需求时&#xff0c;这种方式的开发效率和可…...

编程新知 2025/8/13 16:42:24

测试markdown--肇兴

day1&#xff1a; 1、去程&#xff1a;7:04 --11:32高铁 高铁右转上售票大厅2楼&#xff0c;穿过候车厅下一楼&#xff0c;上大巴车 &#xffe5;10/人 **2、到达&#xff1a;**12点多到达寨子&#xff0c;买门票&#xff0c;美团/抖音&#xff1a;&#xffe5;78人 3、中饭&a…...

编程新知 2025/12/14 11:45:02

最新SpringBoot+SpringCloud+Nacos微服务框架分享

文章目录 前言一、服务规划二、架构核心1.cloud的pom2.gateway的异常handler3.gateway的filter4、admin的pom5、admin的登录核心 三、code-helper分享总结 前言 最近有个活蛮赶的&#xff0c;根据Excel列的需求预估的工时直接打骨折&#xff0c;不要问我为什么&#xff0c;主要…...

编程新知 2026/2/1 23:39:12

css的定位（position）详解：相对定位 绝对定位 固定定位

在 CSS 中&#xff0c;元素的定位通过 position 属性控制&#xff0c;共有 5 种定位模式&#xff1a;static&#xff08;静态定位&#xff09;、relative&#xff08;相对定位&#xff09;、absolute&#xff08;绝对定位&#xff09;、fixed&#xff08;固定定位&#xff09;和…...

编程新知 2026/2/6 6:35:29

项目部署到Linux上时遇到的错误（Redis，MySQL，无法正确连接，地址占用问题）

Redis无法正确连接 在运行jar包时出现了这样的错误 查询得知问题核心在于Redis连接失败&#xff0c;具体原因是客户端发送了密码认证请求&#xff0c;但Redis服务器未设置密码 1.为Redis设置密码&#xff08;匹配客户端配置&#xff09; 步骤&#xff1a; 1&#xff09;.修…...

编程新知 2026/2/8 14:19:47

力扣-35.搜索插入位置

题目描述 给定一个排序数组和一个目标值&#xff0c;在数组中找到目标值&#xff0c;并返回其索引。如果目标值不存在于数组中&#xff0c;返回它将会被按顺序插入的位置。 请必须使用时间复杂度为 O(log n) 的算法。 class Solution {public int searchInsert(int[] nums, …...

编程新知 2025/12/3 3:22:43

九天毕昇深度学习平台 | 如何安装库？

pip install 库名 -i https://pypi.tuna.tsinghua.edu.cn/simple --user 举个例子&#xff1a; 报错 ModuleNotFoundError: No module named torch 那么我需要安装 torch pip install torch -i https://pypi.tuna.tsinghua.edu.cn/simple --user pip install 库名&#x…...

编程新知 2026/1/31 2:13:57

基于 TAPD 进行项目管理

起因 自己写了个小工具&#xff0c;仓库用的Github。之前在用markdown进行需求管理&#xff0c;现在随着功能的增加&#xff0c;感觉有点难以管理了&#xff0c;所以用TAPD这个工具进行需求、Bug管理。 操作流程 注册 TAPD&#xff0c;需要提供一个企业名新建一个项目&#…...

编程新知 2026/1/24 14:15:44