重要通知 | JumpServer 漏洞通知及修复方案（JS-2023.09.27）
2023年9月，有用户反馈发现 JumpServer 开源堡垒机存在安全漏洞，并向 JumpServer 开源项目组进行上报。
漏洞信息：
JumpServer 重置密码验证码可被计算推演的漏洞，CVE编号为CVE-2023-42820。
JumpServer 重置密码验证码可被暴力破解的漏洞，CVE编号为CVE-2023-43650。
JumpServer 认证用户跨目录任意文件读取漏洞，CVE编号为CVE-2023-42819。
JumpServer 认证用户开启MFA后，可以使用SSH公钥认证的逻辑缺陷漏洞，CVE编号为CVE-2023-42818。
JumpServer 全局开启公钥认证后，用户可以使用公钥创建访问Token的漏洞，CVE编号为CVE-2023-43652。
JumpServer 认证用户连接MongoDB数据库，可执行任意系统命令的远程执行漏洞，CVE编号为CVE-2023-43651。
以上漏洞影响版本为：
JumpServer v2.0.0-v2.28.19版本
JumpServer v3.0.0-v3.7.0版本
安全版本为：
JumpServer 版本 = v2.28.20版本
JumpServer 版本 >= v3.7.1版本
修复方案：
升级 JumpServer 软件至上述安全版本。
特别鸣谢：
感谢以下社区用户向 JumpServer 开源社区及时反馈上述漏洞。
CVE-2023-42820、CVE-2023-42819：@KiruaLawliet & zhiniang peng（@edwardzpeng）with Sangfo
CVE-2023-42818: @pokerstarxy & Ethan Yang（@justlovediaodiao）& Hui Song（@songofhawk）
CVE-2023-43650、CVE-2023-43652、CVE-2023-43651：OskarZeino-Mahmalat（Sonar）
