CVE-2026-85249

ملخص

ثغرة التحقق غير الصحيح من المدخلات في مكوّن Apache Camel Tika. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كان منتج Tika يربط كل مفتاح بيانات وصفية يُستخرج من المستند المُرسَل على الـ Exchange كترويسة (header)، دون تطبيق أي تصفية. البيانات الوصفية للمستندات هي محتوى يتحكم فيه المهاجم: فالطرف الذي يوفّر الملف هو من يختار مفاتيح البيانات الوصفية التي يحملها. لذلك كان بإمكان مستند مصمم بعناية أن يضبط ترويسات Exchange التي يعتمد عليها باقي المسار (route)، بما في ذلك ترويسات في نطاق أسماء Camel مثل CamelFileName، التي تستخدمها المكوّنات اللاحقة لتحديد مكان كتابة المحتوى. النمط هو نفس فئة حقن الترويسات (header-injection) كما في تنبيهات المستهلك (consumer) المنشورة سابقًا، لكنه يُبلَغ هنا عبر محتوى ملف مُحلَّل بدلًا من ترويسة بروتوكول. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات 4.18.x LTS الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات 4.22.x LTS الترقية إلى 4.22.1. أصبحت البيانات الوصفية للمستندات المُحلَّلة تُصفّى الآن عبر HeaderFilterStrategy قبل ربطها على الـ Exchange. أي مسار (route) كان يقرأ ترويسة مشتقة من البيانات الوصفية تحجبها التصفية الآن سيجدها مفقودة. بالنسبة للبيئات التي لا يمكنها الترقية فورًا، قم بإزالة نطاق أسماء Camel بعد منتج Tika باستخدام removeHeaders("Camel*") قبل أي مكوّن يتصرف بناءً على تلك الترويسات.

المصادر

• CVE-2026-85249PoC

  مُعيد إنتاج قابل للتشغيل لـ Spring Boot وQuarkus من أجل CVE-2026-85249، يوضّح حقن ترويسة بيانات camel-tika الوصفية في CamelFileName مع عناصر تحكم مصابة ومُصلحة.