CVE-2026-85313

Zusammenfassung

Permissive Cross-domain Policy with Untrusted Domains-Schwachstelle in der Apache Camel Jetty-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Das Setzen von enableCORS auf einem Jetty-Endpunkt installierte Jetty's CrossOriginFilter mit seinen Standardvorgaben, die jeden Origin akzeptieren und Credentials erlauben. Ein Betreiber, der CORS anforderte, erhielt somit eine Richtlinie, die es einer Seite von jedem beliebigen Origin erlaubt, credentialisierte Cross-Origin-Anfragen an den Endpunkt zu stellen und die Antworten zu lesen, ohne dass es einen Hinweis darauf gab, dass das Aktivieren der Option eine Allow-All-Richtlinie gewählt hatte statt einer leeren, die noch auszufüllen wäre. Dies ist dieselbe Fehlerklasse wie die zeitgleich veröffentlichte plattform-http-vertx-Advisory, in einer anderen Komponente. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. enableCORS gewährt einem Origin, den der Betreiber nicht benannt hat, keine Credentials mehr. Ein Deployment, das darauf angewiesen war, dass jeder Origin akzeptiert wird, muss nun seine Origins explizit auflisten. Für Deployments, die nicht sofort aktualisiert werden können, konfigurieren Sie die CrossOriginFilter-Parameter explizit, anstatt sich darauf zu verlassen, was enableCORS installiert, und benennen Sie die erlaubten Origins.

Quellen

• CVE-2026-85313PoC

  Lauffähiger Spring-Boot-Proof-of-Concept zur Reproduktion von CVE-2026-85313, bei dem Apache Camel camel-jetty enableCORS jeden Origin mit Credentials reflektiert, plus eine Kontrollvariante mit fester Version.