🇰🇷 한글 설명
JumpServer 4.10.17 미만 버전에서 users.invite_user 권한을 가진 사용자가 기존 멤버를 초대 API에 제출할 경우, 해당 멤버의 기존 조직 역할이 새로운 역할로 덮어씌워지는 취약점이 존재합니다. 이를 통해 공격자는 권한을 상승시키거나 관리자의 권한을 강제로 낮출 수 있습니다.
💡 쉬운 설명
초대 권한을 가진 사용자가 기존 사용자를 다시 초대하는 방식으로 기존 사용자의 권한을 마음대로 바꿔버릴 수 있는 문제입니다. 이를 통해 일반 사용자가 관리자가 되거나, 반대로 관리자의 권한을 뺏어버릴 수 있습니다.
🇺🇸 원문 (English)
JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17, a user with the users.invite_user permission can submit an existing member to POST /api/v1/users/users/invite/, causing the organization invitation logic in apps/users/api/user.py to execute user.org_roles.set(org_roles) and replace the member's existing organization roles, which can escalate privileges or downgrade administrators. This issue is fixed in version 4.10.17.
📍 영향받는 시스템
JumpServer 4.10.17 미만 모든 버전
⚔️ 공격 벡터
users.invite_user 권한을 이용한 /api/v1/users/users/invite/ API 호출
🛡️ 대응 방법
JumpServer를 4.10.17 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 4.10.17 이상의 버전 번호가 포함되어 있는지 확인하십시오.
curl -s http://<target_ip>/api/v1/version | grep -E '4.10.17'