CVE 데이터베이스CVE-2023-33246

최종 갱신 2026-06-17English Advisory →

CVE-2023-332469.8/CRITICALCISA KEV 등재CWE-94

Apache RocketMQ 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2023-33246)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

apache

대상 컴포넌트 / 패키지

rocketmq

권고문 발행일

2023-05-24

CVSS v3.1

9.8

CRITICAL

30일 악용확률

96.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Apache RocketMQ 5.1.0 이하 버전 및 4.9.5 이하 버전

파급 효과

인증되지 않은 원격 공격자가 RocketMQ 실행 권한으로 임의의 시스템 명령을 실행하여 서버를 완전히 장악할 수 있습니다

권장 조치

RocketMQ 5.x 사용자는 5.1.1 이상으로, 4.x 사용자는 4.9.6 이상으로 즉시 업그레이드하십시오

영향받는 제품 및 버전 범위

Apache RocketMQ 5.1.0 및 이하 버전 (5.x 계열), Apache RocketMQ 4.9.5 및 이하 버전 (4.x 계열)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Apache RocketMQ 공식 권고에 따라 안전한 최신 버전(5.1.1 이상 또는 4.9.6 이상)으로 업그레이드를 수행하십시오. 아래는 Docker 환경에서 RocketMQ를 최신 버전으로 업데이트하는 예시 명령어입니다.

bash

# 1. 기존 컨테이너 중지 및 제거
docker stop rocketmq-broker rocketmq-namesrv
docker rm rocketmq-broker rocketmq-namesrv

# 2. 안전한 최신 버전 이미지 풀링 (예: 5.1.1 버전)
docker pull apache/rocketmq:5.1.1

# 3. 새 버전으로 컨테이너 재실행
docker run -d -p 9876:9876 --name rocketmq-namesrv apache/rocketmq:5.1.1 sh mqnamesrv

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 방화벽(iptables, Security Group 등)을 사용하여 RocketMQ 관련 포트(기본 포트: 9876, 10909, 10911, 10912)에 대한 외부 접근을 완전히 차단하고 신뢰할 수 있는 IP 대역만 허용하십시오.

bash

# 외부에서 NameServer(9876) 및 Broker(10911) 포트로의 접근을 차단하고 특정 신뢰 IP만 허용
iptables -A INPUT -p tcp -s 203.0.113.50 --dport 9876 -j ACCEPT
iptables -A INPUT -p tcp -s 203.0.113.50 --dport 10911 -j ACCEPT
iptables -A INPUT -p tcp --dport 9876 -j DROP
iptables -A INPUT -p tcp --dport 10911 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

RocketMQ 실행 로그에서 외부 IP로부터의 비정상적인 updateBrokerConfig 요청이나 미승인된 구성 변경 시도가 있었는지 점검하십시오.

bash

# RocketMQ 브로커 로그에서 구성 업데이트 관련 키워드 및 의심스러운 명령어 실행 흔적 검색
grep -i 'updateBrokerConfig' /home/rocketmq/logs/rocketmqlogs/broker.log
grep -i -E '(sh|bash|curl|wget|python)' /home/rocketmq/logs/rocketmqlogs/broker.log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

실제 공격에 악용되고 있는 취약점이므로, 노출된 RocketMQ 포트를 즉시 격리하고 안전한 버전(5.1.1 또는 4.9.6 이상)으로 신속히 업그레이드하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2023-33246)은 분산 메시징 및 스트리밍 플랫폼인 Apache RocketMQ의 NameServer, Broker, Controller 구성 요소에서 발생하는 심각한 원격 코드 실행(RCE) 취약점입니다. 해당 구성 요소들이 외부 인터넷에 노출되어 있고 적절한 권한 검증(Permission Verification) 메커니즘이 결여되어 있어 발생합니다. 공격자는 구성 업데이트 기능을 악용하거나 RocketMQ 프로토콜 패킷을 위조하여 대상 시스템에 임의 명령을 주입할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 RocketMQ의 기본 포트(예: NameServer 9876, Broker 10911 등)가 외부로 노출된 대상을 탐색합니다. 이후 RocketMQ 프로토콜 형식에 맞춘 악의적인 페이로드를 전송하여 'update configuration' 명령을 호출합니다. 이 과정에서 RocketMQ는 입력값에 대한 적절한 검증 없이 시스템 환경 변수나 실행 경로에 공격자의 명령어를 삽입하며, 최종적으로 RocketMQ 프로세스가 실행 중인 OS 사용자 권한으로 해당 명령어가 백그라운드에서 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 공격에 적극적으로 악용되고 있음이 확인되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 메시지 큐 내의 민감한 비즈니스 데이터를 탈취하거나 변조할 수 있을 뿐만 아니라, 내부망 침투를 위한 거점으로 서버를 장악하여 랜섬웨어 유포나 암호화폐 채굴기 설치 등 심각한 인프라 마비를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

For RocketMQ versions 5.1.0 and below, under certain conditions, there is a risk of remote command execution. Several components of RocketMQ, including NameServer, Broker, and Controller, are leaked on the extranet and lack permission verification, an attacker can exploit this vulnerability by using the update configuration function to execute commands as the system users that RocketMQ is running as. Additionally, an attacker can achieve the same effect by forging the RocketMQ protocol content. To prevent these attacks, users are recommended to upgrade to version 5.1.1 or above for using RocketMQ 5.x or 4.9.6 or above for using RocketMQ 4.x .

http://packetstormsecurity.com/files/173339/Apache-RocketMQ-5.1.0-Arbitrary-Code-Injection.html

출처: security@apache.org · Exploit, Third Party Advisory, VDB Entry

http://www.openwall.com/lists/oss-security/2023/07/12/1

출처: security@apache.org · Mailing List, Third Party Advisory

https://lists.apache.org/thread/1s8j2c8kogthtpv3060yddk03zq0pxyp

출처: security@apache.org · Mailing List, Vendor Advisory

http://packetstormsecurity.com/files/173339/Apache-RocketMQ-5.1.0-Arbitrary-Code-Injection.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

http://www.openwall.com/lists/oss-security/2023/07/12/1

출처: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Third Party Advisory

https://lists.apache.org/thread/1s8j2c8kogthtpv3060yddk03zq0pxyp

출처: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2023-33246)

FAQ

Q1. CVE-2023-33246 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2023-33246의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 96.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.