CVE-2026-33453

ملخص

# ثغرة التحكم غير السليم في تعديل سمات الكائنات المُحدَّدة ديناميكيًا في مكوّن Apache Camel-Coap مكوّن camel-coap في Apache Camel معرّض لثغرة حقن ترويسات رسائل Camel، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد عند قيام المسارات (routes) بإعادة توجيه طلبات CoAP إلى المنتجين (producers) الحساسين للترويسات (مثل camel-exec). يقوم مكوّن camel-coap بتعيين معاملات استعلام URI لطلبات CoAP الواردة مباشرةً إلى ترويسات رسائل Camel Exchange الواردة دون تطبيق أي HeaderFilterStrategy. على وجه التحديد، تقوم الدالة `CamelCoapResource.handleRequest()` بالتكرار عبر `OptionSet.getUriQuery()` واستدعاء `camelExchange.getIn().setHeader(...)` لكل معامل استعلام. يمتد `CoAPEndpoint` من `DefaultEndpoint` بدلاً من `DefaultHeaderFilterStrategyEndpoint`، ولا يقوم `CoAPComponent` بتنفيذ `HeaderFilterStrategyComponent`؛ ولا يحتوي المكوّن على أي مراجع إلى `HeaderFilterStrategy` على الإطلاق. ونتيجةً لذلك، يمكن لمهاجم غير مصادَق يرسل حزمة UDP واحدة من نوع CoAP إلى مسار Camel يستهلك من `coap://` حقن ترويسات Camel داخلية عشوائية (تلك المسبوقة بـ `Camel*`) في Exchange. عندما يقوم المسار بتسليم الرسالة إلى منتج حساس للترويسات مثل camel-exec أو camel-sql أو camel-bean أو camel-file أو مكوّنات القوالب (camel-freemarker، camel-velocity)، يمكن للترويسات المحقونة تغيير سلوك المنتج. في حالة camel-exec، تقوم الترويسات `CamelExecCommandExecutable` و`CamelExecCommandArgs` بتجاوز الملف التنفيذي والوسائط المُهيأة على نقطة النهاية، مما يؤدي إلى تنفيذ أوامر نظام تشغيل عشوائية بصلاحيات عملية Camel. تتم كتابة مخرجات المنتج مرة أخرى إلى نص Exchange وإرجاعها في حمولة استجابة CoAP بواسطة `CamelCoapResource`، مما يمنح المهاجم قناة تفاعلية لتنفيذ التعليمات البرمجية عن بُعد دون أي حاجة إلى استخراج بيانات خارج النطاق (out-of-band). متطلبات الاستغلال ضئيلة: حزمة UDP واحدة غير مصادَق عليها إلى منفذ CoAP (الافتراضي 5683). لا يحتوي CoAP (RFC 7252) على مصادقة مدمجة، وDTLS اختياري ومعطّل افتراضيًا. نظرًا لأن البروتوكول يعتمد على UDP، فإن ضوابط WAF/IDS على طبقة HTTP لا تنطبق. تؤثر هذه الثغرة على Apache Camel: من 4.14.0 حتى 4.14.5، ومن 4.18.0 قبل 4.18.1، و4.19.0. يُنصح المستخدمون بالترقية إلى الإصدار 4.18.1 أو 4.19.0، والذي يعمل على إصلاح الثغرة.

• CVE-2026-33453