Trusted Design

CVE-2023-33246 の詳細

CVEの情報

説明:
For RocketMQ versions 5.1.0 and below, under certain conditions, there is a risk of remote command execution.  Several components of RocketMQ, including NameServer, Broker, and Controller, are leaked on the extranet and lack permission verification, an attacker can exploit this vulnerability by using the update configuration function to execute commands as the system users that RocketMQ is running as. Additionally, an attacker can achieve the same effect by forging the RocketMQ protocol content.  To prevent these attacks, users are recommended to upgrade to version 5.1.1 or above for using RocketMQ 5.x or 4.9.6 or above for using RocketMQ 4.x .

CVE更新日: 2023-05-24 15:15:09.553000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2023-09-06

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.965680000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-33246は、Apache RocketMQにおけるリモートコード実行（RCE）の脆弱性です。

1. 脆弱性の概要

Apache RocketMQのNameServer、Broker、Controllerといった複数のコンポーネントが、外部ネットワークに公開されており、かつ適切な権限検証を欠いていることに起因する脆弱性です。攻撃者はこの脆弱性を悪用し、設定更新機能を利用するか、またはRocketMQプロトコルコンテンツを偽装することで、RocketMQを実行しているシステムユーザーの権限で任意のコマンドを実行できます。

1.1 影響

リモートの非認証ユーザーがBrokerの設定を更新する際に権限検証が不足しているため、リモートから任意のコマンドを実行される可能性があります。これにより、システムの完全性が損なわれたり、不正なプログラム（DreamBusボットネットなど）が展開される可能性があります。

1.2 深刻度

この脆弱性には、CVSSv3.1で9.8（Critical）のスコアが割り当てられています。 また、一部の評価では8.1（高危）とされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに依存するものではなく、Apache RocketMQのアプリケーション自体に存在します。しかし、脆弱なRocketMQが動作しているOS上でコマンドが実行されることになります。

影響を受けるApache RocketMQのバージョン: * Apache RocketMQ 5.1.0 およびそれ以前のバージョン * Apache RocketMQ 4.9.5 およびそれ以前のバージョン * 具体的には、5.0.0から5.1.1より前のバージョン、および4.9.6より前のバージョンが影響を受けます。

2.2 影響を受ける設定

NameServer、Broker、ControllerなどのRocketMQコンポーネントが、外部ネットワークに露出しており、かつ適切な権限検証が設定されていない場合。攻撃は、Brokerの設定更新機能、特にrocketmqHomeサーバー設定を悪用して行われます。 Brokerサービスへの未認証アクセスが可能であり、認証が有効になっていないことがリモートコマンド実行の前提条件となります。

3. 影響を受けた時の兆候

  • Brokerの構成ファイル内に悪意のあるペイロードが確認されることがあります。構成ファイルはダウンロードして調査することが可能です。
  • DreamBusボットネットなどのマルウェアが展開された場合、仮想通貨マイニングによりシステムリソース（CPU、メモリなど）が大量に消費され、システムのパフォーマンスが著しく低下する可能性があります。
  • 不明なプロセスや、通常とは異なるネットワーク通信などの異常な活動が観測される可能性があります。

4. 推奨対策

4.1 本対策

  • Apache RocketMQのアップグレード:
    • RocketMQ 5.xシリーズを使用している場合は、バージョン5.1.1以降にアップグレードしてください。
    • RocketMQ 4.xシリーズを使用している場合は、バージョン4.9.6以降にアップグレードしてください。

4.2 暫定回避策（緩和策）

  • ネットワークアクセス制限: RocketMQのコンポーネント（NameServer、Broker、Controller）への外部からのアクセスを、ファイアウォール規則などで制限し、許可されたIPアドレスのみがアクセスできるように設定してください。
  • インターネットからの隔離: 不必要なRocketMQインスタンスをインターネットから隔離してください。
  • 監視の強化: 不審なアクティビティがないか、継続的にシステムを監視してください。

参照元

NVDサイト

NVDでCVEの詳細を見る

戻る