oscerd/cve-2026-48204Reproducer für CVE-2026-48204: Apache Camel camel-mongodb-gridfs gridfs.*-Header-Injection, die die GridFS-Operation (Dateien auflisten/lesen/löschen) aus einer nicht authentifizierten HTTP-Anfrage überschreibt (behoben in 4.14.8/4.18.3/4.21.0)
gridfs.* Header-InjectionAusführbare Proof-of-Concept-Reproduktoren für dieselbe Apache-Camel-Schwachstelle, einer pro Laufzeitumgebung:
| Laufzeitumgebung | Verzeichnis | Stack |
|---|---|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.2.0 + camel-spring-boot 4.18.2 |
| Camel Quarkus | camel-quarkus/ | Quarkus 3.36.0 + Camel Quarkus 3.36.0 (bündelt Camel 4.20.0) |
Beide sind betroffene Versionen (behoben in 4.14.8 / 4.18.3 / 4.21.0), und beide demonstrieren denselben Fehler: Wenn
die Route keine operation am mongodb-gridfs-Endpunkt setzt, übernimmt GridFsProducer die Operation aus dem
gridfs.operation-Header. Dieser Header (und gridfs.objectid) befindet sich nicht im Camel*-Namespace, daher entfernt
der HTTP-Grenzfilter ihn nicht — ein nicht authentifizierter Client eines Datei-Upload-Endpunkts wechselt die Operation auf
listAll (alle Dateien auflisten, wodurch ObjectIds preisgegeben werden) oder remove (eine Datei per ID löschen) — CWE-20 / CWE-284.
Jedes Unterverzeichnis ist ein eigenständiges Projekt (plus ein MongoDB-Container, der über seine docker-compose.yml gestartet wird) mit
eigenem Dockerfile und eigener README. Kurz gesagt, für beide:
cd camel-spring-boot # oder: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down
| Eigenschaft | Wert |
|---|---|
| Komponente | camel-mongodb-gridfs |
| Betroffene Klasse | org.apache.camel.component.mongodb.gridfs.GridFsProducer (Operation aus gridfs.operation, wenn Endpunkt-operation nicht gesetzt) |
| CWE | CWE-20 (Unzureichende Eingabevalidierung) / CWE-284 (Unzureichende Zugriffskontrolle) |
| Auswirkung | Überschreiben der GridFS-Operation über Header → Dateien auflisten / lesen / löschen; gridfs.metadata-NoSQL-Injection |
| Betroffene Versionen | Von 4.0.0 vor 4.14.8, von 4.15.0 vor 4.18.3, von 4.19.0 vor 4.21.0 |
| Behobene Versionen | 4.14.8, 4.18.3, 4.21.0 |
| JIRA | CAMEL-23575 (PR apache/camel#23413) |
| Credit | Yu Bao (PayPal) |
Advisory: https://camel.apache.org/security/CVE-2026-48204.html
Diese Reproduktoren werden ausschließlich für Sicherheitsforschung und autorisierte Tests bereitgestellt, für eine öffentlich offengelegte und behobene Schwachstelle. Verwenden Sie sie nicht gegen Systeme ohne ausdrückliche Genehmigung.