CVE-2026-80344

Zusammenfassung

Server-Side Request Forgery (SSRF)-Schwachstelle in der Apache Camel AS2-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Im AS2-Protokoll kann der Absender einer Nachricht verlangen, dass die Message Disposition Notification asynchron an eine vom Absender angegebene Adresse zurückgesendet wird. camel-as2 entnahm diese Adresse der eingehenden Nachricht und verwendete sie als Ziel für die ausgehende Empfangsbestätigung, ohne sie auf etwas zu beschränken, das in der Bereitstellung konfiguriert war. Ein entfernter Partner wählte daher den Host, mit dem sich die Camel-Instanz bei der Zustellung der MDN verbinden würde. Dies ermöglicht Server-Side Request Forgery aus der Position des AS2-Empfängers, einschließlich des Erreichens von Hosts, die nur aus dem internen Netz der Bereitstellung heraus routbar sind, und wenn die ausgehende Verbindung Anmeldedaten trägt, die für die MDN-Zustellung konfiguriert sind, werden diese Anmeldedaten dem vom Angreifer gewählten Ziel präsentiert. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Das asynchrone MDN-Ziel ist nun beschränkt, statt wörtlich aus der eingehenden Nachricht übernommen zu werden. Für Bereitstellungen, die nicht sofort aktualisiert werden können, beschränken Sie die ausgehende Konnektivität des AS2-Empfängers auf die Partner-Endpunkte, an die er rechtmäßig Empfangsbestätigungen zustellt, und hängen Sie an die MDN-Zustellung keine Anmeldedaten an, die für einen anderen Host als diese Partner gültig sind.

Quellen

• CVE-2026-80344PoC

  Lauffähiger Proof-of-Concept-Reproducer für CVE-2026-80344 in Apache Camel camel-as2, der asynchrone MDN-SSRF und Offenlegung von Anmeldedaten mit betroffenen und korrigierten Builds demonstriert.