【缝隙公告】JumpServer AccessKey痛处泄露缝隙
颁布功夫 2026-09-11一、缝隙概述
JumpServer是一款开源碉堡机及特权接见治理（PAM）平台，重要用于企业IT资产的统一接见节造和运维安全审计，提供身份认证、授权节造、账号治理及操作审计等职能，支持Linux/Unix、Windows、数据库、Kubernetes及Web治理后盾等多种资产类型。
2026年9月11日，Z6人生就是博安全应急响应中心（VSRC）监测到JumpServer AccessKey痛处泄露缝隙。该缝隙源于API过滤及序列化器选择逻辑存在缺点，特定查问前提可能影响已利用于查问集的授权或所有权约束，同时客户端可控查问参数可能使要求使用其他操作对应的序列化器。经过身份认证的低权限用户可组合利用上述问题，越权接见正常授权领域表的AccessKey纪录，并可能获取其他用户或JumpServer内部组件的AccessKey密钥。若泄露痛处拥有更高权限，攻击者可能利用其接见相应JumpServer API及其他资源或受治理信息。
二、影响领域
3.7.0 <= JumpServer < 3.10.23-lts
4.0.0 <= JumpServer < 4.10.19-lts
三、安全措施
3.1 升级版本
官方已颁布建复补丁，以建复该缝隙。
JumpServer >= 3.10.23-lts
JumpServer >= 4.10.19-lts
下载链接：
https://github.com/jumpserver/jumpserver/releases/
3.2 一时措施
暂无。
3.3 通用建议
定期更新系统补丁，削减系统缝隙，提升服务器的安全性。
加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。
使用企业级安全产品，提升企业的网络安全机能。
加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。
启用强密码战术并设置为定期批改。
3.4 参考链接
https://github.com/jumpserver/jumpserver/security/advisories/GHSA-6rp5-ff2m-qfrm
京公网安备11010802024551号