腾讯云公告 > 公告详情
扫码查看公告
【安全通告】Apache RocketMQ 远程代码执行漏洞风险通告（CVE-2023-33246）
尊敬的腾讯云用户，您好！
腾讯云安全中心监测到， Apache 官方发布安全通告，披露了其 Apache RocketMQ 存在远程代码执行漏洞，漏洞编号CVE-2023-33246。可导致远程攻击者执行任意代码等危害。
为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
漏洞详情
Apache RocketMQ 是一个开源的分布式消息中间件系统，由 Apache 软件基金会管理和维护。它是一个高可用、高性能、可伸缩的消息队列系统，支持发布/订阅、点对点、批量消息等多种消息模式。
据官方描述，RocketMQ 的 NameServer、Broker 和 Controller 等组件，由于在对外暴露时缺乏权限校验，导致攻击者可以通过修改配置文件或者通过伪造 RocketMQ 协议内容来远程执行命令，攻击者可以利用这些漏洞来获取系统的权限，进而对系统进行控制。
据官方描述，RocketMQ 的 NameServer、Broker 和 Controller 等组件，由于在对外暴露时缺乏权限校验，导致攻击者可以通过修改配置文件或者通过伪造 RocketMQ 协议内容来远程执行命令，攻击者可以利用这些漏洞来获取系统的权限，进而对系统进行控制。
风险等级
高风险
漏洞风险
攻击者利用该漏洞可远程执行任意代码，从而获取系统权限
影响版本
Apache RocketMQ 5.x <= 5.1.0
Apache RocketMQ 4.x <= 4.9.5
Apache RocketMQ 4.x <= 4.9.5
安全版本
Apache RocketMQ 5.x >= 5.1.1
Apache RocketMQ 4.x >= 4.9.6
Apache RocketMQ 4.x >= 4.9.6
修复建议
官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本
版本更新链接：
```
https://rocketmq.apache.org/download
```
临时缓解措施：
使用安全组、防火墙等措施，对broker、nameserver等服务端口做白名单访问限制，禁止对外开放，并仅允许受信任的源进行访问。
版本更新链接：
```
https://rocketmq.apache.org/download
```
临时缓解措施：
使用安全组、防火墙等措施，对broker、nameserver等服务端口做白名单访问限制，禁止对外开放，并仅允许受信任的源进行访问。
【备注】：建议您在升级前做好数据备份工作，避免出现意外
漏洞参考
https://rocketmq.apache.org/release-notes/2023/05/15/5.1.1/https://lists.apache.org/thread/1s8j2c8kogthtpv3060yddk03zq0pxyp
2023-06-06