CVE-2023-33246criticalbajo ataqueCWE-94

CVE-2023-33246: fallo crítico en Apache RocketMQ

Apache RocketMQ: Possible remote code execution vulnerability when using the update configuration function

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache RocketMQ+ Monitorear org.apache.rocketmq:rocketmq-broker

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 97%
de la publicación al arma6 días
Publicada en NVD24 may
1ª PoC+6d
metasploit23 may
CISA KEV+105d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Acción exigida por CISAplazo federal: 2023-09-27

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Apache RocketMQ versiones 5.1.0 e inferiores permite que atacantes ejecuten comandos arbitrarios en servidores que ejecutan el software. Si los componentes de RocketMQ se exponen a Internet sin controles de acceso adecuados, un atacante puede usar la función de actualización de configuración para ejecutar comandos maliciosos con los privilegios del usuario del sistema RocketMQ.

Detalle técnico

CVE-2023-33246 explota la falta de autenticación en los componentes NameServer, Broker y Controller de RocketMQ expuestos en redes no confiables. Un atacante puede enviar mensajes falsificados del protocolo RocketMQ o abusar de la función de actualización de configuración (CWE-94: Control Inadecuado de Generación de Código) para lograr ejecución remota de código con los privilegios del proceso RocketMQ. Versiones afectadas: RocketMQ 5.1.0 e inferiores (4.x hasta 4.9.5).

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

For RocketMQ versions 5.1.0 and below, under certain conditions, there is a risk of remote command execution.  Several components of RocketMQ, including NameServer, Broker, and Controller, are leaked on the extranet and lack permission verification, an attacker can exploit this vulnerability by using the update configuration function to execute commands as the system users that RocketMQ is running as. Additionally, an attacker can achieve the same effect by forging the RocketMQ protocol content.  To prevent these attacks, users are recommended to upgrade to version 5.1.1 or above for using RocketMQ 5.x or 4.9.6 or above for using RocketMQ 4.x .
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache RocketMQ
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache RocketMQ

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-37582CRITICALApache RocketMQ: Possible remote code execution when using the update configuration functionEPSS 90.4%CVE-2024-23321HIGHApache RocketMQ: Unauthorized Exposure of Sensitive DataEPSS 0.9%