CVE-2026-71300

Résumé

Vulnérabilité de validation d'entrée inappropriée dans le composant Apache Camel Atmosphere Websocket. Ce problème affecte Apache Camel : de 4.0.0 avant 4.14.9, de 4.15.0 avant 4.18.4, de 4.19.0 avant 4.22.0. Le producteur camel-atmosphere-websocket sélectionne, via les en-têtes Exchange, les pairs WebSocket connectés auxquels un message est délivré, et les valeurs de chaîne de ces en-têtes se situaient hors de l'espace de noms Camel : websocket.connectionKey et websocket.connectionKey.list, ainsi que websocket.sendToAll, websocket.eventType et websocket.errorType. WebsocketEndpoint étend ServletEndpoint et hérite donc de HttpHeaderFilterStrategy, qui ne filtre que les préfixes Camel et camel ; les noms en pointillés échappaient donc à l'espace de noms filtré et étaient admis dans les deux sens par chaque consommateur de la famille HTTP. Dans une route reliant un consommateur HTTP à un producteur atmosphere-websocket, un émetteur externe pouvait fournir l'en-tête de liste et prendre le contrôle de la décision de distribution du producteur. WebsocketProducer.process teste l'en-tête de liste avant l'en-tête à clé unique, de sorte qu'une valeur injectée écartait le destinataire que la route avait sélectionné : une notification destinée à un client connecté pouvait être supprimée, ou délivrée à la place à un client différent dont l'émetteur connaît la clé de connexion. L'en-tête n'a pas besoin d'être un paramètre de requête ni d'être fourni littéralement sous forme de liste — la liaison HTTP de Camel promeut un nom d'en-tête répété, et une valeur entre crochets, en List lors du mappage sur l'Exchange — de sorte qu'un en-tête HTTP entrant ordinaire suffit pour atteindre la branche à valeur de liste. Ceci est distinct de CVE-2026-55993, qui concerne le chemin des paramètres de requête côté consommateur dans le même composant. Ce comportement remonte à l'introduction de ces constantes, publiées pour la première fois en 2.17.0, et est resté inchangé jusqu'à ce correctif. Les utilisateurs sont invités à mettre à niveau vers la version 4.22.0, qui corrige le problème. Si les utilisateurs sont sur le flux de versions LTS 4.14.x, il leur est conseillé de passer à la 4.14.9. Si les utilisateurs sont sur le flux de versions 4.18.x, il leur est conseillé de passer à la 4.18.4. Pour les déploiements qui ne peuvent pas effectuer de mise à niveau immédiatement, supprimez les en-têtes de distribution à la frontière de confiance avant le producteur, par exemple avec removeHeaders("websocket.*") placé entre le consommateur HTTP et le producteur atmosphere-websocket. Notez que le correctif renomme les valeurs de chaîne des en-têtes dans l'espace de noms Camel, ce qui constitue un changement cassant pour les routes qui les définissent par chaîne littérale : les routes faisant référence symboliquement aux champs WebsocketConstants ne sont pas affectées, et le changement est documenté dans les guides de mise à niveau. Par défense en profondeur, ne reliez pas un consommateur HTTP non fiable directement à un producteur WebSocket dont la distribution est pilotée par les en-têtes, sans d'abord supprimer l'espace de noms de distribution.