CVE-2026-63621

Zusammenfassung

Schwachstelle bezüglich unsachgemäßer Eingabevalidierung und unsachgemäßer Neutralisierung spezieller Elemente in der Ausgabe, die von einer nachgelagerten Komponente verwendet wird („Injection“) in der Apache-Camel-Knative-Komponente. Der Knative-Consumer in camel-knative bildet eingehende CloudEvent-Attribute auf Camel-Message-Header ab. Im binären Inhaltsmodus filtert der HTTP-Header-Pfad Camel-interne Header über die KnativeHttpHeaderFilterStrategy, aber im strukturierten Inhaltsmodus (Content-Type application/cloudevents+json) werden die CloudEvent-Erweiterungsfelder direkt aus dem JSON-Body gelesen und jeder Erweiterungsschlüssel wird ohne Anwendung einer HeaderFilterStrategy (CloudEventProcessors, Spezifikationsversionen 1.0, 1.0.1 und 1.0.2) in die Exchange-Header kopiert. Infolgedessen kann ein nicht authentifizierter Angreifer über eine CloudEvent-Anfrage im strukturierten Modus Camel-interne Header (z. B. CamelHttpUri, CamelHttpPath, CamelFileName) injizieren, wobei die Groß-/Kleinschreibung gegen die Camel-Header-Map nicht berücksichtigt wird. Wenn eine Route Nachrichten von einem Knative-Consumer an eine header-gesteuerte Komponente wie camel-http oder camel-file weiterleitet, überschreiben die injizierten Header konfigurierte Werte, was je nach Route Server-Side Request Forgery (SSRF), Pfad-Traversal oder die Umleitung der Nachrichtenzustellung ermöglicht. Hierbei handelt es sich um eine unvollständige Korrektur der zuvor für den Pfad des binären Inhaltsmodus hinzugefügten Filterung eingehender Header; es ist dasselbe Muster, das in camel-cxf/camel-knative (CVE-2026-47323), camel-undertow (CVE-2025-30177), dem breiteren Filter für eingehende Header (CVE-2025-27636 und CVE-2025-29891) sowie den Nicht-HTTP-Strategien (CVE-2026-40453) behandelt wurde. Dieses Problem betrifft Apache Camel: von 3.15.0 bis vor 4.14.9, von 4.15.0 bis vor 4.18.4, von 4.19.0 bis vor 4.21.0. Benutzern wird empfohlen, auf Version 4.22.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer den 4.18.x-LTS-Release-Stream verwenden, wird empfohlen, auf 4.18.4 zu aktualisieren. Wenn Benutzer den 4.14.x-LTS-Release-Stream verwenden, wird empfohlen, auf 4.14.9 zu aktualisieren. Die Nicht-LTS-Releases 4.15.0 bis 4.17.0 und 4.19.0 bis 4.21.0 sind betroffen, erhalten jedoch keinen Wartungs-Fix; Benutzer dieser Versionen sollten auf 4.18.4 oder 4.22.0 aktualisieren.