CVE-2026-85249

Resumen

Vulnerabilidad de validación de entrada incorrecta en el componente Apache Camel Tika. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El productor de Tika asignaba cada clave de metadatos extraída del documento enviado al Exchange como un encabezado, sin aplicar ningún filtro. Los metadatos del documento son contenido controlado por el atacante: la parte que proporciona el archivo elige las claves de metadatos que este contiene. Por lo tanto, un documento manipulado podría establecer encabezados del Exchange de los que depende el resto de la ruta, incluidos encabezados del espacio de nombres de Camel como CamelFileName, que los componentes posteriores utilizan para decidir dónde se escribe el contenido. El patrón es la misma clase de inyección de encabezados que los avisos de consumidor publicados anteriormente, alcanzada aquí a través del contenido del archivo analizado en lugar de mediante un encabezado de protocolo. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Los metadatos del documento analizado ahora se filtran a través de un HeaderFilterStrategy antes de asignarse al Exchange. Una ruta que leía un encabezado derivado de los metadatos que el filtro ahora bloquea lo verá ausente. Para las implementaciones que no pueden actualizar de inmediato, elimine el espacio de nombres de Camel después del productor de Tika con removeHeaders("Camel*") antes de cualquier componente que actúe sobre esos encabezados.

Fuentes

• CVE-2026-85249PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-85249, que demuestra la inyección de encabezados de metadatos de camel-tika en CamelFileName con controles afectados y corregidos.