CVE-2026-80344

Resumen

Vulnerabilidad de Server-Side Request Forgery (SSRF) en el componente AS2 de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. En el protocolo AS2, el remitente de un mensaje puede solicitar que la Notificación de Disposición del Mensaje (MDN) se devuelva de forma asíncrona a una dirección proporcionada por el remitente. camel-as2 tomaba esa dirección del mensaje entrante y la usaba como destino para el acuse de recibo saliente sin restringirla a nada que la implementación hubiera configurado. Por lo tanto, un socio remoto elegía el host al que la instancia de Camel se conectaría al entregar la MDN. Esto permite un server-side request forgery desde la posición del receptor AS2, incluyendo el acceso a hosts que solo son enrutables desde dentro de la red de la implementación, y cuando la conexión saliente transporta credenciales configuradas para la entrega de MDN, esas credenciales se presentan al destino elegido por el atacante. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. El destino de la MDN asíncrona ahora está restringido en lugar de tomarse literalmente del mensaje entrante. Para las implementaciones que no puedan actualizar de inmediato, restrinja la conectividad saliente del receptor AS2 a los endpoints de los socios a los que legítimamente entrega los acuses de recibo, y no adjunte a la entrega de MDN credenciales que sean válidas para cualquier host distinto de esos socios.

Fuentes

• CVE-2026-80344PoC

  Reproductor de prueba de concepto ejecutable para CVE-2026-80344 en Apache Camel camel-as2, que demuestra SSRF asíncrono en MDN y divulgación de credenciales con compilaciones afectadas y corregidas.