RocketMQ NameServer存在远程代码执行漏洞(CVE-2023-37582)

漏洞描述：

RocketMQ 是一个开源的分布式消息中间件，NameServer 为 Producer 和 Consumer 节点提供路由信息的组件。

由于 CVE-2023-33246 的补丁中并未对 DefaultRequestProcessor#updateConfig 方法中的 configStorePath 属性值进行过滤，当 NameServer 地址暴露在公网并且缺乏权限校验，未经授权的攻击者可 payload 注入到 configStorePath 中，调用 NameServer 的更新配置函数将恶意文件上传到 RocketMQ 服务器中实现远程代码执行。

影响范围：

org.apache.rocketmq:rocketmq-namesrv@[4.0.0-incubating, 4.9.7)

org.apache.rocketmq:rocketmq-namesrv@[5.0.0, 5.1.2)

RocketMQ@[5.0.0, 5.1.2)

RocketMQ@[4.0.0-incubating, 4.9.7)

手动修复方案：

升级org.apache.rocketmq:rocketmq-namesrv到 4.9.7 或 5.1.2 或更高版本

官方已发布补丁：https://github.com/apache/rocketmq/commit/c1fdf1d62c627d6cfbae06d0e15f1c23c7be654b

升级RocketMQ到 4.9.7 或 5.1.2 或更高版本

漏洞检测和自动化修复方案：

墨菲安全的软件供应链安全管理平台，可以快速帮助您识别您代码中的组件漏洞，在检测完成后MurphySec Al Copilot会为您提供合理的一键修复方案。帮助您提升代码安全性，降低漏洞运营成本，规避许可证风险，保护您的数据安全。它还支持多种语言，多种接入方式。

组件漏洞检测

整个检测过程主要分为两个环节：获取项目依赖信息、分析项目依赖存在的漏洞 所有的代码分析过程都在您的本地环境

自动化修复

MurphySec Al Copilot在为您提供修复方案时会进行兼容性评估

1.通过 「创建 PR」 方式快速修复

如果您是GitHub、GItLab、gitee托管的代码项目，在检测完成后，在安全问题列表页 击 安全问题 -> 创建PR修复 -> 选择 修复方案 -> 提交 Pull Request-> 在 GitHub 上点击 Merge，即可完成快速修复

2.通过 「IDE 自动修复 」 方式快速修复

• 已安装 IDE 插件，在检测完成后 点击 缺陷组件 -> 快速修复 -> 修复方案 -> 确认升级 ，升级后支持 回滚

• 未安装 IDE 插件 先根据 IDE 插件安装教程 (opens new window)安装扫描后，点击 缺陷组件 -> 快速修复 -> 选择 修复方案 -> 确认升级 ，升级后支持 回滚

3.通过 「修复代码 」 方式快速修复

在检测完成后，在安全问题列表页，点击 安全问题 -> 修复代码 -> 选择 修复方案 -> 复制代码 -> 在代码编辑工具中找到定义组件位置并 修改代码，即可完成快速修复

参考链接：

https://www.oscs1024.com/hd/MPS-suce-h9wp

https://nvd.nist.gov/vuln/detail/CVE-2023-37582

https://github.com/apache/rocketmq/commit/c1fdf1d62c627d6cfbae06d0e15f1c23c7be654b

https://github.com/apache/rocketmq/pull/6843