CVE-2026-46454

Zusammenfassung

Schwachstelle durch unsachgemäße Eingabevalidierung in der Apache Camel Cometd-Komponente. Die camel-cometd-Komponente überträgt eingehende Bayeux- (CometD-) Nachrichten-Header in den Camel Exchange, ohne eine HeaderFilterStrategy anzuwenden. CometdBinding.populateExchangeFromMessage kopiert die gesamte ext.CamelHeaders-Map, die vom CometD-Client bereitgestellt wird, direkt auf die Camel-Nachricht (message.setHeaders), sodass jeder Header-Name – einschließlich Camel-interner Steuer-Header wie CamelHttpUri, CamelFileName oder CamelJmsDestinationName – unverändert akzeptiert wird. Da eine CometdComponent standardmäßig keine Bayeux-SecurityPolicy installiert, kann jeder Client, der den Bayeux-Handshake gegen den CometD-Endpunkt abschließen kann, eine solche Nachricht ohne Authentifizierung veröffentlichen. Ein Angreifer kann daher beliebige Camel-Steuer-Header injizieren, die das Verhalten nachgelagerter Producer in der Route beeinflussen (z. B. Umleitung eines HTTP-Producers, Änderung eines Dateinamens oder Überschreiben eines JMS-Ziels); die injizierten Header bleiben auch über interne direct-, seda- und vm-Hops hinweg erhalten. Die konkreten Auswirkungen auf nachgelagerte Systeme hängen davon ab, welche Producer die Route verwendet. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.14.8, von 4.15.0 vor 4.18.3, von 4.19.0 vor 4.21.0. Benutzern wird empfohlen, auf Version 4.21.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer den 4.14.x-LTS-Release-Stream verwenden, wird empfohlen, auf 4.14.8 zu aktualisieren. Wenn Benutzer den 4.18.x-Release-Stream verwenden, wird empfohlen, auf 4.18.3 zu aktualisieren. Der Fix implementiert eine HeaderFilterStrategy im camel-cometd-Binding (ein seit langem bestehendes TODO im Code), die den Camel-Header-Namespace beim eingehenden Mapping case-insensitiv filtert, sodass vom Client bereitgestellte Camel*- / camel*-Header nicht mehr in den Exchange kopiert werden. Für Bereitstellungen, die nicht sofort aktualisieren können, entfernen Sie die Camel-Steuer-Header aus eingehenden CometD-Nachrichten, bevor sie einen nachgelagerten Producer erreichen (z. B. removeHeaders('Camel*') und removeHeaders('camel*') am Anfang der Route), und installieren Sie eine explizite Bayeux-SecurityPolicy auf der CometdComponent, sodass nur authentifizierte Clients veröffentlichen können.

• CVE-2026-46454PoC

  Reproducer für CVE-2026-46454 — Apache Camel camel-cometd eingehende Bayeux-Header-Injection (unauthentifizierte Camel-Control-Header-Injection → Downstream-Producer-Steuerung / RCE)