CVE-2026-85312

Zusammenfassung

Schwachstelle durch unzureichende Eingabevalidierung in der Apache Camel Core-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Der Saga-Prozessor konsultierte einen Header namens Long-Running-Action, um zu entscheiden, zu welcher Saga ein Exchange gehörte. Der Name trägt kein Camel-Präfix und liegt daher außerhalb des Namespace, den Consumer-Header-Filter blockieren, sodass ein externer Absender ihn in einer eingehenden Nachricht übermitteln konnte. Dadurch konnte der Absender die Saga benennen, der der Exchange beitrat, und so seine Anfrage an eine von jemand anderem gestartete langlaufende Aktion anhängen oder bewirken, dass eine Kompensation einer Aktion zugeordnet wurde, die er nicht initiiert hatte. Der Header wird nur von einem Saga-Service konsultiert, der ihn verwendet, was die Exposition auf Deployments begrenzt, die Sagas über einen LRA-Koordinator ausführen. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Der Header wird nun nur noch für einen Saga-Service konsultiert, der ihn tatsächlich verwendet, statt bei jedem Exchange. Für Deployments, die nicht sofort aktualisiert werden können, entfernen Sie den Header an der Vertrauensgrenze mit removeHeaders("Long-Running-Action") bei jedem Consumer, der Nachrichten von einem nicht vertrauenswürdigen Absender akzeptiert.

Quellen

• CVE-2026-85312PoC

  Lauffähiger Proof-of-Concept-Reproduzierer für CVE-2026-85312, der Saga-Hijacking in Apache Camel über den Long-Running-Action-Header in Spring Boot und Quarkus demonstriert.