KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2023-43650 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
JumpServer 是一款广受欢迎的开源堡垒机，是符合 4A 规范的专业运维安全审计系统。2023年9月27日，官方披露 CVE-2023-43650 JumpServer 重置密码验证码可爆破致账号劫持漏洞，攻击者可在无需登录的情况下通过请求重置密码，然后爆破6位验证码，待爆破成功后即可造成账号密码重置，并登录JumpServer，结合其余CVE可造成远程命令执行。官方已发布安全更新，建议升级至最新版本。
影响范围
v2.0.0-v2.28.19
v3.0.0-v3.7.0
安全版本
>= v2.28.20,
>= v3.7.1
影响范围
应用：fit2cloud jumpserver（影响面 Up to (excluding) 2.28.20）
应用：fit2cloud jumpserver（影响面 Up to (excluding) 3.7.1）
解决方案
官方已发布安全更新，建议升级至最新版本。
参考信息
https://github.com/jumpserver/jumpserver/security/advisories/GHSA-mwx4-8fwc-2xvw
https://www.sonarsource.com/blog/diving-into-jumpserver-attackers-gateway-to-internal-networks-1-2
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。