CVE-2026-59230

Resumen

Vulnerabilidad de validación de entrada incorrecta en Apache Camel. Este problema afecta a Apache Camel: desde 2.17.0 antes de 4.14.9, desde 4.15.0 antes de 4.18.4, desde 4.19.0 antes de 4.22.0. El componente camel-mail incluye un formato de datos MimeMultipart que puede deserializar un mensaje MIME multipart. Cuando se configura con headersInline establecido en true, la ruta de deserialización copia los encabezados MIME del mensaje entrante al mensaje Camel: enumera cada encabezado que no es uno de los tres estándar que genera por sí mismo - Message-ID, MIME-Version y Content-Type - y llama a setHeader para cada uno, sin aplicar ninguna HeaderFilterStrategy. Los nombres de esos encabezados MIME provienen del mensaje que se está deserializando, por lo que un remitente capaz de influir en el mensaje podría colocar un encabezado cuando nombre caiga en el espacio de nombres interno de Camel y hacer que se establezca en el Exchange. Los componentes Camel leen encabezados de control de ese espacio de nombres para anular su comportamiento configurado - el productor camel-sql, por ejemplo, toma la declaración a ejecutar de un encabezado Camel cuando está presente - por lo que un encabezado inyectado podría redirigir lo que hace un paso posterior en la ruta con datos que el autor de la ruta nunca tuvo la intención de que tomara del mensaje. Qué sumideros son alcanzables, y cuáles son las consecuencias, depende enteramente de lo que haga la ruta después del paso de deserialización. El consumidor camel-mail ya aplicaba una estrategia de filtro de encabezados en su propia ruta de entrada, por lo que esta era la ruta de entrada paralela al mismo componente que el endurecimiento anterior no cubrió. La copia afectada solo se alcanza cuando headersInline está habilitado, lo cual no es el valor predeterminado: con la configuración predeterminada, los encabezados MIME se muestran como adjuntos en lugar de como encabezados de mensaje, y no se ven afectados. El comportamiento se remonta a la introducción del formato de datos en 2.17.0 y estuvo presente en cada línea de lanzamiento hasta esta corrección. Se recomienda a los usuarios actualizar a la versión 4.22.0, que corrige el problema. Si los usuarios están en la rama de lanzamientos LTS 4.14.x, se sugiere que actualicen a 4.14.9. Si los usuarios están en la rama de lanzamientos 4.18.x, se sugiere que actualicen a 4.18.4. Para implementaciones que no pueden actualizar inmediatamente, deje headersInline en su valor predeterminado de false donde los encabezados en línea no son necesarios, ya que la copia solo se alcanza cuando está habilitado. Donde deba permanecer habilitado, elimine los encabezados internos de Camel inmediatamente después del paso de deserialización, por ejemplo, con removeHeaders('Camel') colocado antes de cualquier procesador o productor que lea encabezados de control, y no deserialice contenido MIME de un remitente no confiable en una ruta que despache según los valores de los encabezados. Como defensa en profundidad, trate los nombres de los encabezados de cualquier mensaje MIME que llegue desde fuera del límite de confianza como entrada no confiable.