JumpServer<3.10.0 开放重定向漏洞 (CVE-2024-24763)

漏洞类型 跨站重定向 发现时间 2024-02-21 漏洞等级 中危
MPS编号 MPS-3dz5-xuk2 CVE编号 CVE-2024-24763 漏洞影响广度 广

漏洞危害

OSCS 描述
JumpServer 是开源的堡垒机和运维安全审计系统。
JumpServer 3.10.0之前版本中存在开放重定向漏洞,攻击者诱导用户点击恶意链接如:hxxps://demo.jumpserver.org/core/auth/login/?next=//google.com,其中next参数可以指定为其它恶意域名,进而进行钓鱼或跨站脚本攻击。
参考链接:https://www.oscs1024.com/hd/MPS-3dz5-xuk2

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
jumpserver (-∞, 3.10.0) 升级 将组件 jumpserver 升级至 3.10.0 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-3dz5-xuk2

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-3dz5-xuk2

https://nvd.nist.gov/vuln/detail/CVE-2024-24763

https://github.com/jumpserver/jumpserver/security/advisories/GHSA-p2mq-cm25-g4m5

(0)
上一篇 2024年2月21日 上午10:00
下一篇 2024年2月21日 下午12:00

相关推荐

  • Envoy PROXY协议身份验证绕过漏洞 (CVE-2024-23324)

    漏洞类型 输入验证不恰当 发现时间 2024-02-10 漏洞等级 高危 MPS编号 MPS-x4yl-9mrt CVE编号 CVE-2024-23324 漏洞影响广度 小 漏洞危害 OSCS 描述 Envoy 是一款高性能的服务代理。 在受影响版本中,由于PROXY协议实现未过滤非UTF-8字符,当 failure_mode_allow 设置为 true …

    2024年2月12日
    0
  • Apache DolphinScheduler<3.2.1 任意代码执行漏洞 (CVE-2024-23320)

    漏洞类型 输入验证不恰当 发现时间 2024-02-24 漏洞等级 严重 MPS编号 MPS-t2ir-al41 CVE编号 CVE-2024-23320 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Dolphinscheduler 是开源的分布式任务调度系统。 受影响版本中,由于 SwitchTaskUtils#generateConten…

    2024年2月26日
    0
  • PowerJob<=4.3.3 远程代码执行漏洞 (CVE-2023-37754)[有POC]

    漏洞类型 代码注入 发现时间 2023/7/26 漏洞等级 严重 MPS编号 MPS-ycmw-pl41 CVE编号 CVE-2023-37754 漏洞影响广度 一般 漏洞危害 OSCS 描述 PowerJob 是一款开源的分布式任务调度框架。由于 PowerJob 未对网关进行鉴权,4.3.3 及之前版本中,未经授权的攻击者可向 /instance/det…

    2023年8月11日
    0
  • Spring AMQP 反序列化漏洞 (CVE-2023-34050)

    漏洞类型 反序列化 发现时间 2023-10-18 漏洞等级 中危 MPS编号 MPS-1mr6-9hnw CVE编号 CVE-2023-34050 漏洞影响广度 广 漏洞危害 OSCS 描述 Spring AMQP是将核心 Spring 概念应用于基于 AMQP 的消息传递解决方案的开发。 Spring AMQP中支持添加反序列化类名白名单,用于防止恶意类…

    2023年10月19日
    0
  • MLflow<2.9.1 存在SSTI漏洞 (CVE-2023-6709)

    漏洞类型 模板注入 发现时间 2023-12-12 漏洞等级 严重 MPS编号 MPS-sv6t-fu0k CVE编号 CVE-2023-6709 漏洞影响广度 小 漏洞危害 OSCS 描述 MLflow 是用于管理机器学习生命周期的开源平台,recipes 是用于快速构建模型的框架。 MLflow 之前版本中由于直接使用 jinja2 模版引擎加载用户可控…

    2023年12月13日
    0