CVE-2026-80343

ملخص

ثغرة سوء التعامل مع حساسية حالة الأحرف في مكوّن Apache Camel Netty HTTP. تؤثر هذه المشكلة في Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كان قيد الأمان في camel-netty-http يقارن مسار الطلب مع مسار السياق المُهيّأ باستخدام مطابقة حساسة لحالة الأحرف، بينما لم يطبّق التوجيه الذي يرسل الطلب إلى نقطة النهاية القاعدة نفسها. لذلك اختلفت المقارنتان بالنسبة لأي مسار تختلف حالة أحرفه عن القيمة المُهيّأة. كان بإمكان متصل خارجي تغيير حالة حرف في أحد مقاطع المسار بحيث لم يعد قيد الأمان يتعرّف على المسار باعتباره محميًا، بينما يظل الطلب يُرسَل إلى نقطة النهاية نفسها. والنتيجة هي تخطّي القيد والوصول إلى المسار المحمي دون استيفائه. لا يُشترط أي بيانات اعتماد أو وصول مسبق أو تهيئة خاصة تتجاوز القدرة على إرسال طلب إلى المستهلك. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات 4.18.x LTS الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات 4.22.x LTS الترقية إلى 4.22.1. أصبح القيد الآن يطابق مسار الطلب وفق قواعد حالة الأحرف نفسها التي يستخدمها الإرسال، لذا لم يعد بإمكانهما الاختلاف. بالنسبة إلى عمليات النشر التي لا يمكنها الترقية فورًا، ضع قرار التفويض أمام مستهلك Camel، على سبيل المثال في وكيل عكسي يوحّد مسار الطلب قبل تمريره.

المصادر

• CVE-2026-80343PoC

  إثبات مفهوم قابل للتشغيل لـ CVE-2026-80343، وهو تجاوز لحساسية حالة الأحرف في قيد الأمان camel-netty-http، مع أدوات إعادة إنتاج لـ Spring Boot وQuarkus والتحقق من الإصلاح.