Apache RocketMQ信息泄露漏洞CVE-2024-23321
中科至善 2024-08-06
2024年7月22日，Apache发布安全公告，Apache RocketMQ中的一个信息泄露漏洞（CVE-2024-23321）。此漏洞针对Apache RocketMQ4.5.2 - 5.3.0版本中，在某些情况下即使RocketMQ启用了身份验证和授权功能，拥有普通用户权限或列入IP白名单的攻击者可能通过特定接口获取管理员的帐户和密码，导致敏感信息泄露并可能获得对RocketMQ的控制权。
漏洞简介
CVE-2024-23321是一个敏感信息泄露漏洞，它存在于Apache RocketMQ的特定接口中。Apache RocketMQ是一个广泛使用的分布式消息中间件，支持多种消息模式和类型，因其高吞吐量、低延迟和高可靠性而受到青睐。然而，
该漏洞允许拥有普通用户权限的攻击者，通过精心构造的请求，绕过部分安全限制，窃取管理员账号和密码等敏感信息。这种信息的泄露可能进一步导致攻击者获得对RocketMQ系统的完全控制权，进而威胁到整个应用环境的安全。
目前该漏洞已经修复，受影响用户可升级到Apache RocketMQ 5.3.0或更高版本，并在升级到Apache RocketMQ5.3.0版本时使用RocketMQ ACL 2.0。
风险等级：高风险。
影响范围：
·版本范围：此漏洞影响Apache RocketMQ的多个版本，具体为从4.5.2版本到5.3.0版本(包含这两个版本)的所有用户。
rocketmq@[4.5.2, 5.3.0)
org.apache.rocketmq:rocketmq-acl@[4.5.2, 5.3.0)
org.apache.rocketmq:rocketmq-all@[4.5.2, 5.3.0)
·应用场景：由于ApacheRocketMQ的广泛应用，此漏洞可能影响到包括互联网、大数据、移动互联网、物联网等多个领域的企业和组织。任何使用受影响版本RocketMQ进行实时数据处理或消息传递的系统都可能面临安全风险。
·潜在后果：敏感信息的泄露可能导致系统被非法控制、数据被篡改或窃取，进而造成业务中断、数据泄露等严重后果。
修复建议：
1、建议用户升级到5.3.0或更高版本。下载地址：https://github.com/apache/rocketmq//releases。
2、加强访问控制:在升级之前或升级过程中，加强系统的访问控制策略，限制对敏感接口的访问权限，减少潜在的安全风险。
3、定期安全审计:定期对系统进行安全审计，及时发现并修复潜在的安全漏洞，确保系统的长期安全稳定运行。
漏洞简介
CVE-2024-23321是一个敏感信息泄露漏洞，它存在于Apache RocketMQ的特定接口中。Apache RocketMQ是一个广泛使用的分布式消息中间件，支持多种消息模式和类型，因其高吞吐量、低延迟和高可靠性而受到青睐。然而，
该漏洞允许拥有普通用户权限的攻击者，通过精心构造的请求，绕过部分安全限制，窃取管理员账号和密码等敏感信息。这种信息的泄露可能进一步导致攻击者获得对RocketMQ系统的完全控制权，进而威胁到整个应用环境的安全。
目前该漏洞已经修复，受影响用户可升级到Apache RocketMQ 5.3.0或更高版本，并在升级到Apache RocketMQ5.3.0版本时使用RocketMQ ACL 2.0。
风险等级：高风险。
影响范围：
·版本范围：此漏洞影响Apache RocketMQ的多个版本，具体为从4.5.2版本到5.3.0版本(包含这两个版本)的所有用户。
rocketmq@[4.5.2, 5.3.0)
org.apache.rocketmq:rocketmq-acl@[4.5.2, 5.3.0)
org.apache.rocketmq:rocketmq-all@[4.5.2, 5.3.0)
·应用场景：由于ApacheRocketMQ的广泛应用，此漏洞可能影响到包括互联网、大数据、移动互联网、物联网等多个领域的企业和组织。任何使用受影响版本RocketMQ进行实时数据处理或消息传递的系统都可能面临安全风险。
·潜在后果：敏感信息的泄露可能导致系统被非法控制、数据被篡改或窃取，进而造成业务中断、数据泄露等严重后果。
修复建议：
1、建议用户升级到5.3.0或更高版本。下载地址：https://github.com/apache/rocketmq//releases。
2、加强访问控制:在升级之前或升级过程中，加强系统的访问控制策略，限制对敏感接口的访问权限，减少潜在的安全风险。
3、定期安全审计:定期对系统进行安全审计，及时发现并修复潜在的安全漏洞，确保系统的长期安全稳定运行。
