CVE-2026-85312

ملخص

ثغرة التحقق غير الصحيح من المدخلات في مكوّن Apache Camel Core. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كان معالج saga يتحقق من ترويسة (header) باسم Long-Running-Action لتحديد الـ saga التي ينتمي إليها الـ exchange. لا تحمل هذه التسمية أي بادئة خاصة بـ Camel، لذا فهي تقع خارج مساحة الأسماء التي تحجبها مرشّحات ترويسات المستهلك (consumer header filters)، ما أتاح لمرسل خارجي تزويدها في رسالة واردة. أتاح ذلك للمرسل تسمية الـ saga التي انضم إليها الـ exchange، فإمّا ربط طلبه بإجراء طويل الأمد بدأه شخص آخر، أو التسبب في ربط التعويض (compensation) بإجراء لم يبدأه هو. لا يتم التحقق من الترويسة إلا من قبل خدمة saga التي تستخدمها، ما يحدّ من نطاق التعرّض إلى عمليات النشر التي تشغّل sagas عبر منسّق LRA. قم بالترقية إلى Apache Camel 4.23.0، الذي يعالج المشكلة. على المستخدمين ضمن سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. وعلى المستخدمين ضمن سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. أصبحت الترويسة الآن تُفحص فقط من قبل خدمة saga التي تستخدمها فعليًا، بدلًا من فحصها في كل exchange. بالنسبة لعمليات النشر التي لا يمكنها الترقية فورًا، قم بإزالة الترويسة عند حدود الثقة باستخدام removeHeaders("Long-Running-Action") على كل مستهلك يقبل رسائل من مرسل غير موثوق.

المصادر

• CVE-2026-85312PoC

  مُعيد إنتاج إثبات مفهوم قابل للتشغيل لـ CVE-2026-85312، يُظهر اختطاف saga في Apache Camel عبر ترويسة Long-Running-Action في Spring Boot وQuarkus.