项目介绍
Apache RocketMQ是由阿里捐赠给Apache的一款低延迟、高并发、高可用、高可靠的分布式消息中间件。 经历了淘宝双十一的洗礼。 RocketMQ既可为分布式应用系统提供异步解耦和削峰填谷的能力，同时也具备互联网应用所需的海量消息堆积、高吞吐、可靠重试等特性。
项目地址
https://github.com/apache/rocketmq
漏洞概述
在RocketMQ 5.1.1及以上版本中，当RocketMQ的NameServer暴露在外网且缺乏权限验证时，恶意攻击者可以通过未授权访问利用更新配置功能以RocketMQ运行的系统用户身份上传含有特定内容的文件到任意目录。此外，攻击者可以通过伪造 RocketMQ 协议内容来达到同样的效果。
影响版本
Apache RocketMQ <= 5.1.1
环境搭建
参考官方文档使用docker启动存在漏洞版本的RocketMQ
1）启动NameServer
docker run -it --net=host apache/rocketmq:5.1.1 ./mqnamesrv
2）启动Broker
$ docker run -it --net=host --mount source=/tmp/store,target=/home/rocketmq/store apache/rocketmq:5.1.1 ./mqbroker -n localhost:9876
漏洞复现
漏洞分析
在修复CVE-2023-33246时，有两条补丁链接过滤了相关参数禁止实时修改配置文件
https://github.com/apache/rocketmq/commit/c3ada731405c5990c36bf58d50b3e61965300703
https://github.com/apache/rocketmq/commit/9d411cf04a695e7a3f41036e8377b0aa544d754d
对这两个补丁进行分析发现，两个补丁分别是对不同版本的rocketmq进行修复，这里仅介绍5.1.1版本的修复补丁，补丁代码逻辑一致分别涉及NameServer、Broker、Controller组件，都是禁止修改相关配置文件路径。
问题出在NameServer的补丁链接上如下
DefaultRequestProcessor.java
这处补丁过滤了kvConfigPath和configStorePathName值。这个地方比较关键，后面会提到。
文件上传漏洞
文件上传漏洞的形成有两个核心条件，1、文件路径及后缀可控2、文件内容可控
5.1.1 版本的rocketmq中NameServer服务器可以同时满足，从而造成文件上传漏洞。下面进行核心代码逻辑分析
1、文件路径及后缀可控
NameServer在更新配置内容时会进行写文件操作，文件路径由 getStorePath方法决定，因此可控
getStorePath方法如下，通过debug发现，最后返回值是由NamesrvConfig对象的configStorePath变量决定的（在上述补丁中过滤的是configStorePathName，因此被绕过）
这个值能否修改呢？答案是可以。跟踪调试代码后可知下面这部分代码会通过反射将相关参数赋值给configObjectList中存储的配置对象。
其中就有NamesrvConfig对象，因此我们可以实时修改配置文件的路径
- 文件内容可控
下面代码将所有配置对象中的参数全部合并到allConfigs中并转换成字符串
最终将全部配置信息写入了configStorePath指定的文件中。该文件权限是rocketmq启动时的用户权限。因此只要不出现kvConfigPath即可绕过校验。
命令执行漏洞
Linux crontab 是用来定期执行程序的命令。当安装完成操作系统之后，默认便会启动此任务调度命令。所有用户定义的crontab文件都被保存在/var/spool/cron目录中，其文件名与用户名一致，文件中的每一行都代表一项任务，每行的每个字段代表一项设置，它的格式共分为六个字段，前五段是时间设定段，第六段是要执行的命令段，格式如下：
minute hour day month week command
不满足上述格式的行会被crontab 自动忽略。
结合以上信息，可以通过写入crontab文件达到命令执行的目的。
补丁分析
CVE-2023-37582的补丁比较简单，过滤了configStorePath值，因此无法修改上传路径
修复方式
升级Apache RocketMQ到5.1.2或者4.9.7安全版本
参考链接
https://github.com/apache/rocketmq/pull/6843
https://lists.apache.org/thread/m614czxtpvlztd7mfgcs2xcsg36rdbnc