黑客盯上了易受 RCE 攻击的 Apache RocketMQ 服务器
内容提要
Apache RocketMQ存在远程命令执行漏洞，影响多个组件。Apache发布修复程序，但仍存在漏洞。攻击者可利用漏洞执行任意命令。建议升级RocketMQ以避免攻击。ShadowServer发现数百个主机正在扫描暴露的RocketMQ系统，可能是攻击者的侦查尝试。CISA敦促修补漏洞并发出警告。
延伸解读
不完整修复带来的持续风险
文章指出，Apache 虽已发布针对 NameServer 组件的修复程序，但项目管理委员会成员 Rongtong Jin 警告称，CVE-2023-33246 在 5.1.1 版本中并未完全修复，NameServer 仍存在远程命令执行漏洞。这意味着仅升级到 5.1.1 并不足以消除风险，读者需确认目标版本是否达到 5.1.2/4.9.7 或更高，避免因“已打补丁”的误解而放松防护。
暴露面与权限检查是关键诱因
文章强调，当 NameServer 地址在未经适当权限检查的情况下在线暴露时，攻击者便可利用更新配置功能执行任意命令；CVE-2023-37582 还允许以 RocketMQ 运行系统用户身份执行命令。因此，除升级版本外，读者应关注 NameServer 是否直接暴露在公网、是否缺乏访问控制，这些暴露条件会直接影响漏洞被利用的难易程度。
扫描活动不等于已发生入侵
ShadowServer 记录了数百个主机扫描在线暴露的 RocketMQ 系统，其中部分试图利用上述漏洞。但文章明确表示，这些活动可能是攻击者的侦查尝试、利用行为，也可能是研究人员扫描暴露端点的一部分。读者不宜将扫描数量直接等同于成功入侵案例，而应结合自身日志判断是否出现实际利用迹象。
从矿机案例看实际利用后果
文章提到，至少自 2023 年 8 月起，DreamBus 僵尸网络已利用 CVE-2023-33246 在易受攻击服务器上投放 XMRig Monero 矿机；2023 年 9 月 CISA 也敦促联邦机构在月底前完成修补。这表明该漏洞已被真实攻击者用于牟利，读者可将挖矿进程、异常外连等作为排查线索，并参考 CISA 的修补时限要求评估自身响应优先级。
Q&A
Apache RocketMQ 最近被利用的漏洞编号是什么？
CVE-2023-33246 和 CVE-2023-37582。
这些漏洞影响 RocketMQ 的哪些组件？
CVE-2023-33246 主要影响 NameServer、Broker 和 Controller 等多个组件。
攻击者如何利用这些漏洞？
当 NameServer 地址在未经适当权限检查的情况下在线暴露时，攻击者可以利用 CVE-2023-33246 使用 NameServer 上的更新配置功能执行任意命令；利用 CVE-2023-37582 可以以 RocketMQ 运行的系统用户身份执行任意命令。
应该将 RocketMQ 升级到哪个版本以避免攻击？
建议将 RocketMQ 5.x/4.x 的 NameServer 升级到 5.1.2/4.9.7 或更高版本。
目前有哪些攻击活动与这些漏洞相关？
ShadowServer 发现数百个主机扫描暴露的 RocketMQ 系统，可能是攻击者的侦查尝试；自 2023 年 8 月起，DreamBus 僵尸网络利用 CVE-2023-33246 投放 XMRig Monero 矿机。
CISA 针对该漏洞采取了什么行动？
2023 年 9 月，CISA 敦促联邦机构在当月底前修补 CVE-2023-33246 漏洞，并发出严重警告。
