CVE-2026-85314

Zusammenfassung

Schwachstelle durch unzureichende Eingabevalidierung in der Apache Camel Mail-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 bis vor 4.18.5, von 4.19.0 bis vor 4.22.1. CVE-2026-46584 wurde behoben, indem Mail-Header den Exchange erreichten, ohne einen Header-Filter zu durchlaufen, doch das MimeMultipart-Datenformat behielt einen ungefilterten Pfad bei: Beim Unmarshalling einer Multipart-Nachricht wurden mail.smtp-Header ohne Anwendung eines Filters auf den Exchange abgebildet. Diese Namen liegen außerhalb des Camel-Namespace, den Consumer-Filter blockieren, sodass eine von einem externen Absender manipulierte Nachricht sie weiterhin setzen konnte, und der mail.smtp-Namespace beeinflusst, wie ein nachgelagerter Mail-Producer sich verbindet und sendet. Dies ist eine unvollständige Behebung von CVE-2026-46584 und keine neue Fehlerklasse: Eine Bereitstellung, die diesen Hinweis angewendet und camel-mail als erledigt betrachtet hat, blieb auf diesem Pfad exponiert. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Das MimeMultipart-Datenformat wendet den Header-Filter nun beim Unmarshal an und schließt damit den Pfad, den CVE-2026-46584 offen gelassen hat. Für Bereitstellungen, die nicht sofort aktualisieren können, entfernen Sie den Namespace nach dem Datenformat mit removeHeaders("mail.smtp*") vor jedem Mail-Producer.

Quellen

• CVE-2026-85314PoC

  Lauffähiger Proof-of-Concept-Reproduzierer für CVE-2026-85314, der die camel-mail MimeMultipart mail.smtp-Header-Injection in Camel Spring Boot und Camel Quarkus demonstriert, mit gepatchten Kontrollen.