CVE-2025-27636

ملخص

# ثغرة تجاوز/حقن في مكونات Apache Camel في ظل ظروف معينة. تؤثر هذه المشكلة على Apache Camel: من 4.10.0 حتى <= 4.10.1، ومن 4.8.0 حتى <= 4.8.4، ومن 3.10.0 حتى <= 3.22.3. يُنصح المستخدمون بالترقية إلى الإصدار 4.10.2 لإصدارات 4.10.x LTS، و4.8.5 لإصدارات 4.8.x LTS، و3.22.4 لإصدارات 3.x. توجد هذه الثغرة في مرشح الرؤوس الواردة الافتراضي في Camel، والذي يسمح للمهاجم بتضمين رؤوس خاصة بـ Camel يمكنها، في بعض مكونات Camel، تغيير السلوكيات؛ فعلى سبيل المثال، يمكن لمكوّن camel-bean استدعاء طريقة أخرى على الـ bean غير تلك المبرمجة في التطبيق. وفي مكوّن camel-jms، يمكن استخدام رأس خبيث لإرسال الرسالة إلى قائمة انتظار أخرى (على نفس الـ broker) غير تلك المبرمجة في التطبيق. ويمكن ملاحظة ذلك أيضاً عند استخدام مكوّن camel-exec. سيحتاج المهاجم إلى حقن رؤوس مخصصة، مثل بروتوكولات HTTP. لذا، إذا كانت لديك تطبيقات Camel متصلة مباشرة بالإنترنت عبر HTTP، فسيتمكن المهاجم من تضمين رؤوس HTTP خبيثة في طلبات HTTP المرسلة إلى تطبيق Camel. ستكون جميع مكونات HTTP المعروفة في Camel، مثل camel-servlet وcamel-jetty وcamel-undertow وcamel-platform-http وcamel-netty-http، عرضة للثغرة بشكل افتراضي. في هذه الظروف، قد يتمكن المهاجم من تزوير اسم رأس Camel وجعل مكوّن الـ bean يستدعي طرقاً أخرى في نفس الـ bean. وفيما يخص استخدام استراتيجية مرشح الرؤوس الافتراضية، فإن قائمة المكونات التي تستخدمها هي: * camel-activemq * camel-activemq6 * camel-amqp * camel-aws2-sqs * camel-azure-servicebus * camel-cxf-rest * camel-cxf-soap * camel-http * camel-jetty * camel-jms * camel-kafka * camel-knative * camel-mail * camel-nats * camel-netty-http * camel-platform-http * camel-rest * camel-sjms * camel-spring-rabbitmq * camel-stomp * camel-tahu * camel-undertow * camel-xmpp تنشأ الثغرة بسبب خلل في آلية التصفية الافتراضية التي تمنع فقط الرؤوس التي تبدأ بـ "Camel" أو "camel" أو "org.apache.camel.". التخفيف: يمكنك التحايل على هذه المشكلة بسهولة في تطبيقات Camel الخاصة بك عن طريق إزالة الرؤوس في مسارات Camel الخاصة بك. هناك طرق عديدة للقيام بذلك، سواء بشكل عام أو لكل مسار على حدة. هذا يعني أنه يمكنك استخدام EIP المسمى removeHeaders لتصفية أي شيء مثل "cAmel, cAMEL" وما شابه، أو بشكل عام أي شيء لا يبدأ بـ "Camel" أو "camel" أو "org.apache.camel.".

• CVE-2025-27636-RCE-in-Apache-Camel