CVE-2026-46456

Zusammenfassung

Schwachstelle durch unsachgemäße Eingabevalidierung in der Apache-Camel-AWS2-SQS-Komponente. Die Komponente camel-aws2-sqs bildet eingehende Nachrichtenattribute in den Camel Exchange über eine komponentenspezifische HeaderFilterStrategy ab. Sqs2HeaderFilterStrategy konfigurierte nur einen ausgehenden Filter (setOutFilterPattern, der blockiert, dass Camel*, breadcrumbId und org.apache.camel.*-Header an den Broker geschrieben werden), konfigurierte jedoch keinen eingehenden Filter. Infolgedessen wandte DefaultHeaderFilterStrategy beim Kopieren jedes SQS-MessageAttribute in den Exchange durch Sqs2Consumer über HeaderFilterStrategy.applyFilterToExternalHeaders keine eingehende Regel an und behandelte jeden Headernamen als nicht gefiltert – einschließlich Camel-interner Steuer-Header wie CamelHttpUri, CamelFileName oder CamelSqlQuery – und kopierte sie unverändert auf die Camel-Nachricht. Jeder Akteur, der Nachrichten an die konsumierte SQS-Warteschlange senden kann (z. B. ein sender aus einem anderen Konto oder eine Komponente mit geringeren Rechten im selben Konto, die über sqs:SendMessage verfügt), konnte daher beliebige Camel-Steuer-Header setzen, die das Verhalten nachgelagerter Producer in der Route beeinflussen (z. B. Umleiten eines HTTP-Producers, Ändern eines Dateinamens oder Überschreiben einer Abfrage); die injizierten Header bleiben auch über interne direct-, seda- und vm-Hops hinweg erhalten. Die konkreten Auswirkungen auf nachgelagerte Systeme hängen davon ab, welche Producer die Route verwendet. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.14.8, von 4.15.0 vor 4.18.3, von 4.19.0 vor 4.21.0. Benutzern wird empfohlen, auf Version 4.21.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer den 4.14.x-LTS-Release-Stream verwenden, wird empfohlen, auf 4.14.8 zu aktualisieren. Wenn Benutzer den 4.18.x-Release-Stream verwenden, wird empfohlen, auf 4.18.3 zu aktualisieren. Der Fix fügt Sqs2HeaderFilterStrategy eine eingehende HeaderFilterStrategy-Regel hinzu, die den Camel-Header-Namespace beim eingehenden Mapping case-insensitiv filtert, sodass vom Sender bereitgestellte Camel*-/camel*-Header nicht mehr in den Exchange kopiert werden. Für Bereitstellungen, die nicht sofort aktualisieren können, entfernen Sie die Camel-Steuer-Header aus eingehenden Nachrichten, bevor sie einen nachgelagerten Producer erreichen (z. B. removeHeaders('Camel*') und removeHeaders('camel*') am Anfang der Route), und beschränken Sie, wer an die konsumierte SQS-Warteschlange senden darf, indem Sie sqs:SendMessage-Berechtigungen mit geringsten Rechten in der Ressourcenrichtlinie der Warteschlange anwenden.