CVE-2026-85249

Résumé

Vulnérabilité de validation d'entrée incorrecte dans le composant Apache Camel Tika. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le producteur Tika mappait chaque clé de métadonnées extraite du document soumis sur l'Exchange en tant qu'en-tête, sans aucun filtre appliqué. Les métadonnées de document sont un contenu contrôlé par l'attaquant : la partie qui fournit le fichier choisit les clés de métadonnées qu'il contient. Un document forgé pouvait donc définir des en-têtes de l'Exchange dont dépend le reste de la route, y compris des en-têtes de l'espace de noms Camel tels que CamelFileName, que les composants en aval utilisent pour décider où le contenu est écrit. Le schéma correspond à la même classe d'injection d'en-têtes que les avis relatifs aux consommateurs publiés précédemment, atteinte ici via le contenu de fichier analysé plutôt que via un en-tête de protocole. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS de la branche 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS de la branche 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Les métadonnées de document analysées sont désormais filtrées via un HeaderFilterStrategy avant d'être mappées sur l'Exchange. Une route qui lisait un en-tête dérivé des métadonnées que le filtre bloque désormais le verra absent. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, supprimez l'espace de noms Camel après le producteur Tika avec removeHeaders("Camel*") avant tout composant qui agit sur ces en-têtes.

Sources

• CVE-2026-85249PoC

  Reproducteur exécutable Spring Boot et Quarkus pour CVE-2026-85249, démontrant l'injection d'en-tête de métadonnées camel-tika dans CamelFileName avec des contrôles affectés et corrigés.