CVE-2026-46592 — camel-cxf operationName Header-Injection (SOAP-Operationsumleitung)

Ausführbare Proof-of-Concept-Reproducer für dieselbe Apache-Camel-Schwachstelle, einer pro Laufzeitumgebung:

Beide sind betroffene Versionen (behoben in 4.14.8 / 4.18.3 / 4.21.0) und beide zeigen denselben Defekt: CxfProducer#getBindingOperationInfo sucht zuerst nach einem operationName-Message-Header und greift nur dann auf das defaultOperationName des Endpunkts zurück, wenn dieser fehlt. Der Wert dieser Header-Konstante ist der einfache String operationName – nicht CamelCxfOperationName –, sodass der HTTP-Grenzfilter (der nur Camel* entfernt) einen eingehenden HTTP-Header dieses Namens ungehindert durchlässt. Ein nicht vertrauenswürdiger Client fügt operationName: deleteAccount hinzu, und das fest verdrahtete, schreibgeschützte getBalance der Route wird zu einem destruktiven Aufruf (CWE-441, Confused Deputy).

Die beiden Varianten unterscheiden sich nur darin, wie der Backend-SOAP-Dienst aufgesetzt wird: Die Quarkus-Variante veröffentlicht ihn mit quarkus-cxf auf dem verwalteten Quarkus-HTTP-Server (sodass der Vertrag JAX-WS-@WebService-Annotationen trägt), während die Spring-Boot-Variante ihn programmatisch mit einem CXF-ServerFactoryBean auf einem separaten Port erstellt. Der Defekt bleibt davon unberührt.

Jedes Unterverzeichnis ist ein eigenständiges Projekt mit eigenem Dockerfile, eigener docker-compose.yml und eigenem README. Kurz gesagt, für beide Varianten:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Zusammenfassung der Schwachstelle

Sicherheitshinweis: https://camel.apache.org/security/CVE-2026-46592.html

Haftungsausschluss

Diese Reproducer werden ausschließlich für Sicherheitsforschung und autorisierte Tests bereitgestellt, für eine öffentlich offengelegte und behobene Schwachstelle. Verwenden Sie sie nicht gegen Systeme ohne ausdrückliche Genehmigung.