CVE-2026-80344

Résumé

Vulnérabilité de type Server-Side Request Forgery (SSRF) dans le composant AS2 d'Apache Camel. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Dans le protocole AS2, l'expéditeur d'un message peut demander que la Message Disposition Notification soit renvoyée de manière asynchrone à une adresse fournie par l'expéditeur. camel-as2 prenait cette adresse depuis le message entrant et l'utilisait comme destination pour l'accusé de réception sortant sans la restreindre à ce que le déploiement avait configuré. Un partenaire distant choisissait donc l'hôte auquel l'instance Camel se connecterait lors de la livraison du MDN. Cela permet une falsification de requête côté serveur depuis la position du récepteur AS2, y compris pour atteindre des hôtes qui ne sont routables que depuis l'intérieur du réseau du déploiement, et lorsque la connexion sortante transporte des identifiants configurés pour la livraison des MDN, ces identifiants sont présentés à la destination choisie par l'attaquant. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. La destination asynchrone des MDN est désormais restreinte plutôt que reprise telle quelle depuis le message entrant. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, limitez la connectivité sortante du récepteur AS2 aux points de terminaison partenaires auxquels il livre légitimement les accusés de réception, et n'attachez pas à la livraison des MDN des identifiants valides pour un hôte autre que ces partenaires.

Sources

• CVE-2026-80344PoC

  Reproducteur de preuve de concept exécutable pour CVE-2026-80344 dans Apache Camel camel-as2, démontrant une SSRF via MDN asynchrone et la divulgation d'identifiants avec des builds affectés et corrigés.