一、漏洞详情

Apache RocketMQ是一款开源的分布式消息和流处理平台，提供了高效、可靠、可扩展的低延迟消息和流数据处理能力，广泛用于异步通信、应用解耦、系统集成以及大数据、实时计算等场景。

近日，监测到Apache RocketMQ远程代码执行漏洞(CVE-2023-37582)。此漏洞是由于CVE-2023-33246补丁未修复完全，当RocketMQ的NameServer组件暴露在外网，且缺乏有效的身份认证时，攻击者可以利用更新配置功能，以RocketMQ运行的系统用户身份执行任意命令。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

RocketMQ < 4.9.7

RocketMQ < 5.1.2

三、修复建议

目前官方已发布安全版本，建议受影响用户升级至：

RocketMQ 5.x >= 5.1.2

RocketMQ 4.x >= 4.9.7

官方补丁下载地址：https://rocketmq.apache.org/download/