There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - For RocketMQ versions 5.2.0 and below, under certain conditions, there is a risk of exposure of sensitive
    Information to an unauthorized actor even if RocketMQ is enabled with authentication and authorization
    functions. An attacker, possessing regular user privileges or listed in the IP whitelist, could
    potentially acquire the administrator's account and password through specific interfaces. Such an action
    would grant them full control over RocketMQ, provided they have access to the broker IP address list. To
    mitigate these security threats, it is strongly advised that users upgrade to version 5.3.0 or newer.
    Additionally, we recommend users to use RocketMQ ACL 2.0 instead of the original RocketMQ ACL when
    upgrading to version Apache RocketMQ 5.3.0. (CVE-2024-23321)

对于 RocketMQ 版本 5.2.0 及更低版本，在某些情况下，即使启用了身份验证和授权功能，也存在将敏感信息暴露给未经授权的攻击者的风险。拥有常规用户权限或列入了 IP 白名单的攻击者可能通过特定接口获取管理员的帐户和密码。如果攻击者具有代理 IP 地址列表的访问权限，则此类操作会授予他们对 RocketMQ 的完全控制权。为缓解这些安全威胁，强烈建议用户升级到版本 5.3.0 或更高版本。此外，我们建议用户在升级到版本 Apache RocketMQ 5.3.0 时，使用 RocketMQ ACL 2.0 代替原始 RocketMQ ACL。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

針對 RocketMQ 5.2.0 和更舊版本，在某些情況下，即使 RocketMQ 已啟用驗證和授權功能，仍存在敏感資訊洩漏給未經授權執行者的風險。擁有一般使用者權限或列在 IP 白名單中的攻擊者可能會透過特定介面取得系統管理員的帳戶和密碼。此類動作可授予他們對 RocketMQ 的完整控制權，前提是他們可以存取代理人 IP 位址清單。為減輕這些安全性威脅，強烈建議使用者升級至 5.3.0 版或更新版本。此外，我們建議使用者在升級至 Apache RocketMQ 5.3.0 版時，使用 RocketMQ ACL 2.0 而非原來的 RocketMQ ACL。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

RocketMQ バージョン 5.2.0 以前では、特定の状況下で、RocketMQ が認証および承認機能で有効化されていても、機密情報が権限のない攻撃者に漏洩するリスクがあります。通常のユーザー権限を持っているか、IP ホワイトリストに載っている攻撃者が、特定のインターフェイスを通じて管理者のアカウントとパスワードを取得する可能性があります。このようなアクションにより、ブローカーの IP アドレスリストへのアクセス権を持っている場合、RocketMQ に対する完全なコントロールがこれらのユーザーに付与されます。これらのセキュリティの脅威を緩和するために、ユーザーはバージョン 5.3.0 または以降にアップグレードすることを強くお勧めします。さらに、バージョン Apache RocketMQ 5.3.0にアップグレードする場合、ユーザーは元の RocketMQ ACL ではなく RocketMQ ACL 2.0 を使用することをお勧めします。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

For RocketMQ versions 5.2.0 and below, under certain conditions, there is a risk of exposure of sensitive Information to an unauthorized actor even if RocketMQ is enabled with authentication and authorization functions. An attacker, possessing regular user privileges or listed in the IP whitelist, could potentially acquire the administrator's account and password through specific interfaces. Such an action would grant them full control over RocketMQ, provided they have access to the broker IP address list. To mitigate these security threats, it is strongly advised that users upgrade to version 5.3.0 or newer. Additionally, we recommend users to use RocketMQ ACL 2.0 instead of the original RocketMQ ACL when upgrading to version Apache RocketMQ 5.3.0.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
418033	SCA: security update for org.apache.rocketmq:rocketmq-all (GHSA-q9w2-h4cw-8ghp)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
418033	SCA: security update for org.apache.rocketmq:rocketmq-all (GHSA-q9w2-h4cw-8ghp)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
205388	Apache RocketMQ < 5.3.0 信息泄露 (CVE-2024-23321)	Nessus	Web Servers	2024/8/12	2024/9/11	high
205388	Apache RocketMQ < 5.3.0 資訊洩漏 (CVE-2024-23321)	Nessus	Web Servers	2024/8/12	2024/9/11	high
205388	Apache RocketMQ < 5.3.0 の情報漏洩 (CVE-2024-23321)	Nessus	Web Servers	2024/8/12	2024/9/11	high
205388	Apache RocketMQ < 5.3.0 Information Disclosure (CVE-2024-23321)	Nessus	Web Servers	2024/8/12	2024/9/11	high

检测

插件搜索

medium

medium

high

high

high

high