周一打开安全公告页，JumpServer 那条更新看着平平无奇，细读一遍才冒冷汗——堡垒机，管住全公司 root 钥匙的那个东西，自己先漏了风。
漏洞本身一句话就能说明白：SQL 查询过滤存在缺陷，任何一个已登录的普通用户，在 API 请求里附加一个特定参数，就能越权拿到管理员的 Access Key。不是绕八圈的提权链，是一步到位。普通账号变成"钥匙铺"。研究人员 2026 年 8 月报告的（@sajjadhaqi / Smart Oasis），官方 9 月 9 日发了公告。
版本范围记好：V3 >= v3.7.0 且 < v3.10.23 LTS；V4 >= v4.0.0 且 < v4.10.19 LTS。安全版本是 V3 v3.10.23 LTS、V4 v4.10.19 LTS。临时处置官方也给了个土办法：在 Nginx 配置里禁掉相关过滤参数，先把闸堵上，再排升级。
更值得多看一眼的是背景：JumpServer 今年漏洞出得有点密。7 月 29 日一次修了 4 个——fastjson 依赖、KoKo Web Terminal 的 SFTP 路径遍历（CVE-2026-54336）、Applet Host 的 Jinja 模板注入 RCE（CVE-2026-44845）、组织邀请权限覆盖（CVE-2026-44846）；1 月 14 日又修 2 个。终端、文件传输、审计、API 全都长在一个系统里，功能越多攻击面越大，开源堡垒机的安全债就是这么一年年攒出来的。
落到自查，我按这张单子过：
- 版本对照上面两条范围，先确认自己有没有在圈里；
- 在圈里的，先上 Nginx 参数过滤那道临时闸，同时排升级窗口；
- 升级之外，把管理员的 Access Key 全部轮换一遍——按"窗口期里已经被人看过"来处理；
- 翻窗口期的 API 审计日志，重点看普通账号有没有带奇怪参数的请求。
"看门人"这类组件，权限给得越顺手，塌得越彻底。低权限捅穿高权限这种事，上周 K8s 那批补丁刚演过一遍（低权限就能打穿集群：这周的 K8s 补丁自查清单）；入口组件退役了大半年洞还挂在门口的，ingress-nginx 也是现成的例子（那篇在这）。我自己管机器用的是七亿批量远程管理工具，不碰堡垒机这层，但道理相通——入口类组件的版本和权限，得有人天天盯着，不能装完就当不存在。安全这块的基础习惯，我在科普页整理过一些，这里不铺开。七亿批量远程管理工具的说明书官网也有，需要的自取。
评论