最近の脆弱性 › CVE-2023-33246
Apache RocketMQ のコードインジェクションの脆弱性（CVE-2023-33246）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-33246 |
|---|---|
| 製品 | Apache RocketMQ |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-09-06 |
| 米国政府機関の対応期限 | 2023-09-27 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-94 |
何が起きた
Apache RocketMQ の NameServer、Broker、Controller という部品が外部から届く状態になっていて、操作が許されているかの確認がない弱点が見つかりました。攻撃者は設定を更新する機能を使ったり、RocketMQ の通信内容を偽ったりして、RocketMQ を動かしている利用者の権限で命令を実行できるおそれがあります。ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できるとされ、実際に悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache RocketMQ の 5.1.0 以前を使っている人や組織が対象です。
何をすればいい
Apache の公式の案内を確認してください。RocketMQ 5.x を使っている場合は 5.1.1 以降、RocketMQ 4.x を使っている場合は 4.9.6 以降に更新されているか確認してください。
やることチェックリスト
- RocketMQ 5.x は 5.1.1 以降に更新する
- RocketMQ 4.x は 4.9.6 以降に更新する
- 使っている RocketMQ のバージョンを調べる
用語メモ
- Broker
- RocketMQ で、メッセージを受け取って保管し、受け手に届ける役目の部品です。
- 権限
- その利用者がコンピューターの中でできることの範囲です。
元データ（英語・CISA KEV より）
Apache RocketMQ Command Execution Vulnerability
概要
Several components of Apache RocketMQ, including NameServer, Broker, and Controller, are exposed to the extranet and lack permission verification. An attacker can exploit this vulnerability by using the update configuration function to execute commands as the system users that RocketMQ is running as or achieve the same effect by forging the RocketMQ protocol content.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.