一、 漏洞 CVE-2023-45140 基础信息
漏洞标题
在《Bastion》中，基于组的动态时延MFA绕过(JIT MFA)
来源：AIGC 神龙大模型
漏洞描述信息
在The Bastion中的基于组的即时MFA绕过在scp和sftp上
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
认证机制不恰当
来源：AIGC 神龙大模型
漏洞标题
Group-based JIT MFA bypass on scp and sftp in The Bastion
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The Bastion provides authentication, authorization, traceability and auditability for SSH accesses. SCP and SFTP plugins don't honor group-based JIT MFA. Establishing a SCP/SFTP connection through The Bastion via a group access where MFA is enforced does not ask for additional factor. This abnormal behavior only applies to per-group-based JIT MFA. Other MFA setup types, such as Immediate MFA, JIT MFA on a per-plugin basis and JIT MFA on a per-account basis are not affected. This issue has been patched in version 3.14.15.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
关键功能的认证机制缺失
来源：美国国家漏洞数据库 NVD
漏洞标题
Bastion 访问控制错误漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Bastion是一组机器，用作操作团队的唯一入口点，以安全地连接到设备。 Bastion 3.0.0 到3.14.0版本存在访问控制错误漏洞，该漏洞源于 MFA 的组或个人可以强制通过 Bastion 建立 SCP/SFTP 连接不需要额外因素， SSH 访问不受影响。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2023-45140 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2023-45140 的情报信息