oscerd/cve-2026-71300أداة إعادة إنتاج (Proof-of-Concept) لثغرة حقن ترويسة الإرسال في Apache Camel camel-atmosphere-websocket (CVE-2026-71300)، توضح كيف يمكن لترويسة مُحقونة إعادة توجيه رسائل WebSocket إلى مستلم يختاره المهاجم.
مُعيد إنتاج (PoC) قابل للتشغيل لثغرة Apache Camel حيث يختار مُنتِج camel-atmosphere-websocket مستلمي WebSocket من ترويسات Exchange ذات الأسماء websocket.* التي تقع خارج نطاق Camel — بحيث يسمح HeaderFilterStrategy الخاص بـ HTTP (الذي يزيل فقط Camel* / camel*) بمرورها، ويمكن لمُرسِل خارجي السيطرة على قرار التوجيه الخاص بالمُنتِج.
| بيئة التشغيل | الدليل | الحزمة التقنية |
|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.5.13 + camel-atmosphere-websocket 4.18.2 |
Camel Quarkus: لا توجد إضافة
camel-quarkus-atmosphere-websocket، لذا لا يمكن تشغيل هذا المكوّن على Camel Quarkus — المُعيد مُخصّص لـ Spring Boot فقط.
يصل مسار بين مستهلك HTTP ومُنتِج atmosphere-websocket، بحيث يسلّم كل رسالة HTTP إلى مستلم WebSocket مثبّت واحد (الـ«ضحية») عبر تعيين ترويسة websocket.connectionKey بنفسه. لكن WebsocketProducer.process يختبر ترويسة القائمة websocket.connectionKey.list قبل ترويسة المفتاح المفرد، وهذا الاسم المنقّط ليس ضمن نطاق Camel، لذلك لا يزيله فلتر ترويسات HTTP. وبالتالي فإن ترويسة محقونة websocket.connectionKey.list تمر من الطلب إلى Exchange وتتجاوز المستلم المثبّت — الرسالة المخصصة للضحية تُسلَّم إلى اتصال يختاره المهاجم بدلاً من ذلك.
POST /notify ──► setHeader(websocket.connectionKey = victim) ──► atmosphere-websocket producer ──► victim peer
│ ▲
└─ injected header websocket.connectionKey.list: <attacker key> ───────┘ (tested first → wins)
بخصوص بيئة الاختبار. يتطلب تشغيل WebSocket الخاص بـ atmosphere ترقية WebSocket في حاوية servlet وتهيئة الإطار نفسه، وهو أمر لا يمكن تشغيله من تطبيق Spring Boot مستقل عادي. لذلك يشغّل هذا المُعيد منطق التوجيه الحقيقي لـ
WebsocketProducerعبر مدخل HTTP حقيقي — فقط الطرفان المتصلان هما بديلان مُسجّلان مباشرة فيWebSocketStoreالخاص بالـ endpoint (كما يسجّل إطار atmosphere اتصالات المتصفح الحقيقية). أما تجاوز فلتر الترويسات وأولوية التوجيه في المُنتِج — أي الثغرة الفعلية — فيتم اختبارهما فعلياً.
cd camel-spring-boot
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down
المخرجات المتوقعة على بناء متأثر:
1) Benign POST /notify (no injected header):
victim received: [hello for the victim]
attacker received: []
2) Injected POST /notify with header 'websocket.connectionKey.list: attacker-connection-key':
victim received: []
attacker received: [private data meant for the victim, ...]
>>> PROVEN: ... delivering a message meant for the victim to an attacker-chosen WebSocket connection instead: true
| الخاصية | القيمة |
|---|---|
| المكوّن | camel-atmosphere-websocket (camel-atmosphere-websocket-starter) |
| CWE | CWE-20 (التحقق غير السليم من المدخلات) → CWE-74 (الحقن) |
| متجه الهجوم | ترويسة محقونة websocket.connectionKey.list (أو websocket.connectionKey / websocket.sendToAll) على طلب يتم توجيهه إلى مُنتِج atmosphere-websocket |
| الأثر | السيطرة على قرار التوجيه الخاص بالمُنتِج — التسليم إلى / الحجب عن أقران WebSocket تعسفيين |
| الإصدارات المتأثرة | من 4.0.0 وحتى ما قبل 4.14.9، ومن 4.15.0 وحتى ما قبل 4.18.4، ومن 4.19.0 وحتى ما قبل 4.22.0 |
| الإصدارات المُصحَّحة | 4.14.9، 4.18.4، 4.22.0 |
| JIRA | CAMEL-24359 |
| الإسناد | Barak Srour (Apiiro) |
النشرة الأمنية: https://camel.apache.org/security/CVE-2026-71300.html
تمت إعادة تسمية ثوابت ترويسات التوجيه إلى نطاق Camel — CamelAtmosphereWebsocketConnectionKey، CamelAtmosphereWebsocketConnectionKeyList، CamelAtmosphereWebsocketSendToAll — بحيث يزيلها HeaderFilterStrategy الخاص بـ HTTP عند حدود النقل ولم يعد بإمكان مُرسِل خارجي حقنها. أما مسار websocket المرتبط في camel-undertow فهو مغطى في CVE-2026-78329.
يُنشر هذا المستودع لأغراض تعليمية ودفاعية: لمساعدة مستخدمي Apache Camel على فهم الثغرة، والتحقق مما إذا كانوا متأثرين بها، والتأكد من أن الترقية تحلّها. لا تستخدم هذه المواد ضد أنظمة لا تملكها أو لا تشغّلها.