CVE-2025-58044

W JumpServer do wersji 4.10.19 wykryto lukę w nieznanej funkcji komponentu Template Rendering; manipulacja argumentem IP/HOST prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony; aktualizacja do wersji 5.0.0 usuwa problem (patch fcf2904cdb884230e9676f50f37a44d09fa97040), a producent potwierdza poprawkę również w nadchodzącym wydaniu v4.

JumpServer w wersjach przed v3.10.20-lts i v4.10.11-lts pozwala uwierzytelnionemu, nieuprzywilejowanemu użytkownikowi pobrać tokeny połączeń innych użytkowników przez endpoint API super-connection. Endpoint zwraca tokeny utworzone przez wszystkich użytkowników zamiast ograniczać wyniki do tokenów należących do żądającego. Problem naprawiono w wersjach v3.10.20-lts i v4.10.11-lts.

Podatność w JumpServer GPLv3 v.3.8.0 umożliwia zdalnemu atakującemu ominięcie filtrowania poleceń i wykonanie dowolnego kodu. Należy jednak zaznaczyć, że producent kwestionuje tę podatność, argumentując, że filtrowanie poleceń nie ma na celu ograniczania uprawnionych użytkowników.

W JumpServer przed wersją 4.10.17-lts renderowanie automatyzacji opartej na Ansible może ewaluować wyrażenia szablonów kontrolowane przez użytkowników mających uprawnienia do tworzenia lub uruchamiania zadań automatyzacji. Spreparowana treść może wywołać wrażliwe mechanizmy lookup Ansible (file, pipe, env, password), ujawniając pliki lub zmienne środowiskowe i potencjalnie pozwalając na ograniczone wykonanie poleceń.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Od wersji 4.8.0 do 4.10.17, uwierzytelniony użytkownik z uprawnieniami SFTP do autoryzowanego zasobu może przesłać spreparowane ścieżki traversal przez funkcję SFTP w KoKo Web Terminal, co powoduje, że AssetDir.GetRealPath() w pkg/srvconn/sftp_asset.go rozwiązuje ścieżki poza zamierzonym katalogiem głównym SFTP i umożliwia odczyt, listowanie, zapis, zmianę nazwy lub usunięcie operacji na skonfigurowanym koncie backendowym na tym zasobie. Problem naprawiono w wersji 4.10.17.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, użytkownik z uprawnieniem users.invite_user może przesłać istniejącego członka do POST /api/v1/users/users/invite/, co powoduje, że logika zaproszenia organizacji w apps/users/api/user.py wykonuje user.org_roles.set(org_roles) i zastępuje istniejące role organizacyjne członka, co może eskalować uprawnienia lub degradować administratorów. Problem naprawiono w wersji 4.10.17.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, uwierzytelniony administrator z uprawnieniami zarządzania i wdrażania Applet Host może wstrzyknąć wyrażenia Jinja2 do pola IP/Host lub pola adresu usługi Core, co powoduje, że Ansible ocenia dane inventory ansible_host lub zmienne playbooka podczas wdrażania Applet Host i wykonuje dowolne polecenia na węźle kontrolnym JumpServer. Problem naprawiono w wersji 4.10.17.

JumpServer to open-source'owy bastion host. W wersjach przed v3.10.21-lts i v4.10.12-lts użytkownik z niskimi uprawnieniami może wywołać testy konfiguracji LDAP i rozpocząć synchronizację LDAP, wysyłając spreparowane wiadomości do endpointu WebSocket /ws/ldap/, omijając kontrole autoryzacji.