CVE-2023-37582

CRÍTIC: (9,8)

CVSS3: 8,5

Apache RocketMQ podria permetre a un atacant remot executar ordres arbitràries al sistema, causades per una fallada en utilitzar la funció de configuració d’actualització. En enviar una sol·licitud especialment dissenyada, un atacant podria explotar aquesta vulnerabilitat per executar ordres arbitràries al sistema.

Sistemes Afectats

• Apache RocketMQ 4.9.6
• Apache RocketMQ 5.0.0
• Apache RocketMQ 5.1.1

Remediació
Actualitzeu a la darrera versió d’Apache RocketMQ (4.9.7, 5.1.2 o posterior), disponible al lloc web d’Apache. Vegeu-ne les Referències.

Referències

• CVE-2023-37582: Apache RocketMQ: Possible remote code execution when using the update configuration function
• Apache RocketMQ
• The RocketMQ NameServer component still has a remote command execution vulnerability as the CVE-2023-33246 issue was not completely fixed in version 5.1.1.