CVE-2026-49042 — camel-langchain4j-tools حقن الأوامر → حقن الترويسات

أدوات إعادة إنتاج قابلة للتشغيل لإثبات المفهوم لنفس ثغرة Apache Camel، واحدة لكل بيئة تشغيل:

كلاهما إصدارات متأثرة (تم الإصلاح في 4.14.8 / 4.18.3 / 4.21.0)، وكلاهما يُظهر الخلل ذاته تمامًا: LangChain4jToolsProducer#invokeTools ينسخ كل حقل من وسائط استدعاء الأدوات JSON الصادرة عن النموذج مباشرةً إلى ترويسات Exchange، دون أي تحقق من مخطط المعامل المُعلَن. الأداة تُعلن عن معامل واحد (host)، لكن نموذجًا بحقن أوامر مُوجَّه يُصدر حقولًا إضافية تستقر كترويسات تحكم في Camel وتختطف أي مُنتِج تستخدمه مسارات الأداة في المراحل النهائية (CWE-20).

لا حاجة إلى LLM حقيقي أو مفتاح API: الحقن بالكامل يقع في وسائط استدعاء الأدوات التي يُصدرها نموذج وهمي، تمامًا كما قد يُنتجه نموذج تم كسره أو حقنه بشكل غير مباشر.

لماذا يختطف المتغيران أهدافًا مختلفة

يُثبت متغير Spring Boot RCE عبر هدف exec:. وهذا الهدف غير قابل للوصول افتراضيًا في Camel 4.20.0 (وهو ما يضمّه Camel Quarkus 3.36.0): أضاف CAMEL-23315 خيار allowControlHeaders إلى camel-exec، بقيمة افتراضية false، وصدر أول مرة في 4.20.0. هذا التحصين مستقل عن هذه الثغرة و لا يصلحها — الحقول المُحقونة لا تزال تصبح ترويسات Exchange عند 4.20.0 (تم التحقق في سجل المسار)؛ فقط هذا الهدف النهائي الواحد توقف عن تكريم ترويسات التحكم الخاصة به. لذلك يختطف متغير Quarkus مُنتِج http، الذي يُكرَّم افتراضيًا، ويُهرِّب أيضًا عنصر نائب لخاصية Camel يقوم المُنتِج بحلّه — مما ينتج SSRF بالإضافة إلى كشف سر تطبيق حقيقي.

كل مجلد فرعي هو مشروع مستقل بذاته يضم Dockerfile وdocker-compose.yml وREADME خاصًا به. باختصار، لأي منهما:

cd camel-spring-boot   # أو: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

ملخص الثغرة

النشرة: https://camel.apache.org/security/CVE-2026-49042.html

إخلاء مسؤولية

أدوات إعادة الإنتاج هذه مقدمة للبحث الأمني والاختبار المصرح به فقط، لثغرة مُعلنة علنًا ومُصلحة. لا تستخدمها ضد أنظمة دون إذن صريح.