Apache RocketMQ 代码注入漏洞

Apache RocketMQ是美国阿帕奇（Apache）基金会的一款轻量级的数据处理平台和消息传递引擎。 Apache RocketMQ 5.1.0及之前版本存在代码注入漏洞，该漏洞源于存在远程命令执行漏洞，攻击者可以利用该漏洞利用更新配置功能以系统用户身份执行命令。

通过专业的安全评估，如果被攻击者利用，可直接getshell；可被用于内网信息收集，扫描目标内网主机；可攻击运行在内网或本地的应用程序；可被用作攻击跳板；

将 org.apache.rocketmq:rocketmq-broker 升级到 4.9.6、5.1.1 或更高版本。
确保升级到已修复漏洞的版本，例如 4.9.7.、4.9.5.、4.9.6.、4.9.4.、4.9.3.、4.9.2.、5.1.2.、4.7.1.、4.6.1.* 和 5.3.0.* 以外的安全版本。
参考链接获取更多信息：https://lists.apache.org/thread/1s8j2c8kogthtpv3060yddk03zq0pxyp
下载补丁或更新版本：https://www.vicarius.io/vsociety/vulnerabilities/cve-2023-33246