CVE-2026-46454

ملخص

ثغرة التحقق غير السليم من المدخلات في مكوّن Apache Camel Cometd. يقوم مكوّن camel-cometd بتعيين رؤوس رسائل Bayeux (CometD) الواردة إلى Camel Exchange دون تطبيق HeaderFilterStrategy. ينسخ CometdBinding.populateExchangeFromMessage خريطة ext.CamelHeaders بأكملها التي يوفرها عميل CometD مباشرةً إلى رسالة Camel (message.setHeaders)، لذلك يتم قبول أي اسم رأس — بما في ذلك رؤوس التحكم الداخلية الخاصة بـ Camel مثل CamelHttpUri أو CamelFileName أو CamelJmsDestinationName — دون تعديل. نظرًا لأن CometdComponent لا يثبّت أي Bayeux SecurityPolicy افتراضيًا، يمكن لأي عميل قادر على إكمال مصافحة Bayeux ضد نقطة نهاية CometD نشر مثل هذه الرسالة دون مصادقة. لذلك يمكن للمهاجم حقن رؤوس تحكم عشوائية خاصة بـ Camel تؤثر على سلوك المنتجين (producers) النهائيين في المسار (route) (على سبيل المثال إعادة توجيه منتج HTTP، أو تغيير اسم ملف، أو تجاوز وجهة JMS)؛ كما تستمر الرؤوس المحقونة عبر القفزات الداخلية direct و seda و vm. يعتمد التأثير النهائي الملموس على المنتجين الذين يستخدمهم المسار. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.14.8، ومن 4.15.0 قبل 4.18.3، ومن 4.19.0 قبل 4.21.0. يُنصح المستخدمون بالترقية إلى الإصدار 4.21.0 الذي يصلح المشكلة. إذا كان المستخدمون على سلسلة إصدارات 4.14.x LTS، فمن المقترح الترقية إلى 4.14.8. إذا كان المستخدمون على سلسلة إصدارات 4.18.x، فمن المقترح الترقية إلى 4.18.3. يطبّق الإصلاح HeaderFilterStrategy في ربط camel-cometd (وهو TODO قديم في الكود) يقوم بتصفية مساحة أسماء رؤوس Camel بشكل غير حساس لحالة الأحرف عند التعيين الوارد، بحيث لا يتم نسخ الرؤوس Camel* / camel* المقدمة من العميل إلى Exchange. بالنسبة للنشرات التي لا يمكنها الترقية فورًا، قم بإزالة رؤوس التحكم الخاصة بـ Camel من رسائل CometD الواردة قبل وصولها إلى أي منتج نهائي (على سبيل المثال removeHeaders('Camel*') و removeHeaders('camel*') في بداية المسار)، وقم بتثبيت Bayeux SecurityPolicy صريح على CometdComponent بحيث يمكن للعملاء المصادق عليهم فقط النشر.

• CVE-2026-46454PoC

  مستنسخ لـ CVE-2026-46454 — Apache Camel camel-cometd حقن رأس Bayeux الوارد (حقن رأس تحكم Camel غير مصدق → توجيه المنتج النهائي / تنفيذ تعليمات برمجية عن بعد)