关键漏洞信息 描述 安全审计发现：在Teleport的例行安全审计中，多个版本（4.4, 5, 6, 7）被发现存在安全漏洞和一些杂项问题。 细节 Server Access SSH主机证书伪造风险： - 攻击者通过特权网络位置可伪造SSH主机证书，进而利用Teleport在某些代码路径下的验证错误，借此泄露敏感命令或操控正在使用的SSH代理。 - 在特定情况下，攻击者甚至可能控制SSH代理，尤其是当代理处于记录模式时。 Teleport代理连接风险： - Teleport代理可误连至攻击者控制的集群。虽然这不会直接赋予攻击者对SSH、Kubernetes或应用服务器等资源的访问或控制权，但代理会无合法x509或SSH用户证书的情况下拒绝所有连接。 All 构建基础设施漏洞： - 在内部安全演练中，工程师发现Teleport（4.4, 5, 6, 7）构建基础设施存在漏洞，可能被用于篡改构建产物。目前无发现该漏洞已被利用的证据。 行动建议 升级建议：强烈建议用户升级所有Teleport组件。如无法全面升级，至少升级tsh和使用反向隧道的Teleport代理（包括可信集群代理）。 破坏性变更 连接限制：用户将无法通过Web UI使用tsh连接到公开密钥或证书未由Teleport签名的OpenSSH节点。需使用OpenSSH客户端或带非安全标志的tsh进行此类连接。 下载 提供了多个版本的下载链接，包括7.1.1、6.2.12、5.2.4、以及4.4.11，用以缓解安全问题。 可从gravitational.com/teleport/download获取所有版本的下载链接。