CVE-2026-46584 — Inyección de Cabeceras mail.smtp.* en camel-mail

Reproductores de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, uno por runtime:

Ambas son versiones afectadas (corregidas en 4.14.8 / 4.18.3 / 4.21.0), y ambas demuestran el mismo defecto: el método getSender() del productor de correo inserta cualquier cabecera de mensaje mail.smtp.* entrante en la sesión JavaMail antes de conectar. Esos nombres son cadenas simples, sin el prefijo Camel, por lo que el filtro de límite HTTP (HttpHeaderFilterStrategy, que elimina solo Camel*) permite que un cliente HTTP no autenticado las establezca. Dos cabeceras de solicitud adicionales (mail.smtp.socks.host / mail.smtp.socks.port) tunelan la conexión SMTP autenticada de la víctima a través de un proxy SOCKS controlado por el atacante, que recolecta las credenciales AUTH LOGIN en texto plano — mientras que el envío de la víctima aún se realiza correctamente, por lo que la intercepción es silenciosa.

Cada subdirectorio es un proyecto autocontenido con su propio Dockerfile, docker-compose.yml y README — el servidor SMTP "legítimo" y el proxy SOCKS del atacante se ejecutan ambos dentro de la JVM, por lo que no se requiere ningún servicio externo. En resumen, para cualquiera de ellos:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de Vulnerabilidad

Aviso: https://camel.apache.org/security/CVE-2026-46584.html

Descargo de responsabilidad

Estos reproductores se proporcionan solo para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada y corregida públicamente. No los utilice contra sistemas sin permiso explícito.