CVE-2023-33246

Varios componentes de RocketMQ —el NameServer, el Broker y el Controller— exponen funcionalidad de administración en sus puertos de red sin comprobaciones de permisos. Cuando esos puertos son alcanzables, un atacante abusa de la función de actualización de configuración del broker para sobrescribir los ajustes en tiempo de ejecución y, al apuntar la configuración a una entrada controlada por el atacante, puede hacer que se ejecuten comandos como el usuario del sistema con el que se ejecuta RocketMQ. El mismo efecto se logra falsificando directamente los mensajes del protocolo RocketMQ, por lo que la explotación no necesita más que acceso de red a un componente expuesto.

La exposición central es que los puertos de RocketMQ a menudo se dejan abiertos a redes no confiables sin ninguna capa de autenticación delante y, dado que el broker se ejecuta con privilegios de sistema significativos, la ejecución de código allí es una ruta directa hacia la columna vertebral de mensajería y los hosts que la rodean. Rápidamente apareció un exploit público y la falla vio escaneo y explotación activos, ganándose su lugar en la lista KEV de CISA. Actualice a la 5.1.1 o posterior en la línea 5.x, o a la 4.9.6 o posterior en la 4.x, y proteja con firewall los puertos de NameServer y Broker para que nunca queden expuestos más allá de la infraestructura de confianza.