漏洞复现-CVE-2023-42442：JumpServer未授权访问漏洞
概述
影响范围
| 影响版本 | 安全版本 | |
| JumpServer:JumpServer | 3.0.0 - 3.5.4 | >= 3.5.5 |
| JumpServer:JumpServer | 3.6.0 - 3.6.3 | >= 3.6.4 |
修复建议
- 尽快升级JumpServer至安全版本，即版本3.5.5或3.6.4及以上。
- 对于无法立即升级的环境，建议禁止访问~/session路径，以防止潜在的攻击。
实际影响
- 身份认证绕过：攻击者无需任何身份认证即可访问JumpServer的会话信息。
- 敏感数据窃取：攻击者可利用此漏洞访问会话信息，可能导致JumpServer中的敏感会话数据被窃取，例如用户数据、会话密钥等。
官方修复分析
根据JumpServer的GitHub提交0a58bba59cd275bab8e0ae58bf4b359fbc5eb74a，官方从代码中移除了permissions.BasePermission。