【漏洞通告】RocketMQ远程代码注入漏洞(CVE-2023-33246)

0x01 漏洞信息

漏洞名称：RocketMQ远程代码注入漏洞

漏洞编号：CVE-2023-33246

漏洞等级：高

披漏时间：2023年06月01日

0x02 漏洞描述

RocketMQ的NameServer、Broker、Controller等多个组件缺乏权限验证，攻击者可以利用该漏洞利用更新配置功能以RocketMQ运行的系统用户身份执行命令。

0x03 漏洞状态

脆弱组件覆盖面	利用门槛	POC工具	EXP工具
广	低	已公开	已公开

0x04 影响版本

4.9.5≤RocketMQ≤4.9.6、5.1.0≤RocketMQ≤5.1.1

0x05 漏洞排查

用户尽快排查所有应用系统RocketMQ应用版本是否在4.9.5≤RocketMQ≤4.9.6或5.1.0≤RocketMQ≤5.1.1之间。若存在应用使用，极大可能会受到影响。

0x06 漏洞加固

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://lists.apache.org/thread/1s8j2c8kogthtpv3060yddk03zq0pxyp

原文始发于微信公众号（安迈信科应急响应中心）：【漏洞通告】RocketMQ远程代码注入漏洞(CVE-2023-33246)