CVE-2026-84176

Zusammenfassung

Permissive Cross-domain Policy with Untrusted Domains-Schwachstelle in der Apache Camel Platform HTTP Vertx-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. createCorsHandler() setzt Access-Control-Allow-Credentials: true außerhalb der Origin-Prüfung, sodass der Header bei jeder Antwort auf eine Anfrage mit Origin-Header mitgesendet wurde, einschließlich Antworten an Origins, die der Handler gerade abgelehnt hatte. Wenn camel.server.cors.origins nicht gesetzt ist, behandelt der Handler jeden Origin als erlaubt und gibt den Origin des Aufrufers selbst als Access-Control-Allow-Origin zurück. Zusammen erzeugen diese beiden Verhaltensweisen die mit Credentials versehene Any-Origin-Konfiguration, die die Fetch-Spezifikation nicht als literales Wildcard auszudrücken erlaubt, weshalb das Zurückspiegeln des Origins üblicherweise der Weg ist, diese Regel zu umgehen. Eine Seite auf einem beliebigen Origin konnte daher mit Credentials versehene Cross-Origin-Anfragen an den Camel-Endpunkt stellen und die Antworten lesen. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Access-Control-Allow-Credentials wird nun nur noch gesendet, wenn der Anfrage-Origin mit einem Origin übereinstimmte, den der Betreiber tatsächlich konfiguriert hat. Ohne Origin-Liste wird der Origin weiterhin wie zuvor zurückgespiegelt, aber es werden keine Credentials gewährt, und Vary: Origin wird nun immer dann gesetzt, wenn der Origin zurückgespiegelt wird, damit ein gemeinsamer Cache nicht die Antwort eines Origins an ein anderes ausliefert. Für Deployments, die nicht sofort aktualisiert werden können, setzen Sie camel.server.cors.origins auf die explizite Liste der Origins, die Zugriff benötigen, anstatt es ungesetzt zu lassen.

Quellen

• CVE-2026-84176PoC

  Lauffähiger Spring-Boot-Proof-of-Concept zur Reproduktion von CVE-2026-84176, einer CORS-Schwachstelle mit Credentials und beliebigem Origin in Apache Camel camel-platform-http-vertx, inklusive Verifikationsschritten.