CVE-2026-49098 — camel-kafka kafka.OVERRIDE_TOPIC Header-Injection

Ausführbare Proof-of-Concept-Reproducer für dieselbe Apache-Camel-Sicherheitslücke, einer pro Laufzeitumgebung:

Beide sind betroffene Versionen (der Fehler ist in 4.14.8 / 4.18.3 / 4.21.0 behoben), und beide demonstrieren denselben Fehler: KafkaProducer.evaluateTopic() liest den nicht mit Camel präfixierten kafka.OVERRIDE_TOPIC-Header und bevorzugt ihn gegenüber dem im Endpoint konfigurierten Topic. Er umgeht den HTTP-Header-Filter (bei Spring Boots Servlet-platform-http ebenso wie bei Quarkus' Vert.x-platform-http) und verschiebt einen produzierten Datensatz auf ein vom Angreifer gewähltes Topic — Cross-Topic-Injection (CWE-20 → CWE-74).

Jedes Unterverzeichnis ist ein eigenständiges Projekt mit eigener Dockerfile, eigener docker-compose.yml und einer README, die vollständige Details und Reproduktionsschritte enthält. Kurz gesagt, für beide:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Zusammenfassung der Schwachstelle

Sicherheitshinweis: https://camel.apache.org/security/CVE-2026-49098.html

Haftungsausschluss

Diese Reproducer werden ausschließlich für Sicherheitsforschung und autorisierte Tests bereitgestellt, und zwar für eine öffentlich offengelegte und behobene Sicherheitslücke. Verwenden Sie sie nicht gegen Systeme ohne ausdrückliche Genehmigung.