CVE-2026-85249

Zusammenfassung

Schwachstelle durch unzureichende Eingabevalidierung in der Apache-Camel-Tika-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Der Tika-Producer hat jeden Metadatenschlüssel, der aus dem übermittelten Dokument geparst wurde, ohne Filterung als Header auf die Exchange abgebildet. Dokumentmetadaten sind vom Angreifer kontrollierter Inhalt: Die Partei, die die Datei bereitstellt, bestimmt die darin enthaltenen Metadatenschlüssel. Ein manipuliertes Dokument konnte daher Exchange-Header setzen, von denen der Rest der Route abhängt, einschließlich Header im Camel-Namespace wie CamelFileName, die nachgelagerte Komponenten verwenden, um zu entscheiden, wohin Inhalte geschrieben werden. Das Muster entspricht derselben Header-Injection-Klasse wie die zuvor veröffentlichten Consumer-Advisories, hier jedoch über geparsten Dateiinhalt statt über einen Protokoll-Header erreicht. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Geparste Dokumentmetadaten werden nun durch eine HeaderFilterStrategy gefiltert, bevor sie auf die Exchange abgebildet werden. Eine Route, die einen aus Metadaten abgeleiteten Header gelesen hat, den der Filter nun blockiert, wird diesen fehlen sehen. Für Deployments, die nicht sofort aktualisieren können, entfernen Sie den Camel-Namespace nach dem Tika-Producer mit removeHeaders("Camel*") vor jeder Komponente, die auf diese Header reagiert.

Quellen

• CVE-2026-85249PoC

  Lauffähiger Spring Boot- und Quarkus-Reproducer für CVE-2026-85249, der die Injektion von camel-tika-Metadaten-Headern in CamelFileName mit betroffenen und korrigierten Kontrollen demonstriert.