CVE-2026-85314

Résumé

Vulnérabilité de validation d'entrée incorrecte dans le composant Apache Camel Mail. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. CVE-2026-46584 corrigeait le fait que les en-têtes de courrier atteignaient l'Exchange sans passer par un filtre d'en-têtes, mais le format de données MimeMultipart conservait un chemin non filtré : le démarshalling d'un message multipart mappait les en-têtes mail.smtp sur l'Exchange sans qu'aucun filtre ne soit appliqué. Ces noms se situent en dehors de l'espace de noms Camel que les filtres de consommateur bloquent, de sorte qu'un message forgé par un expéditeur externe pouvait encore les définir, et l'espace de noms mail.smtp influence la manière dont un producteur de courrier en aval se connecte et envoie. Il s'agit d'une correction incomplète de CVE-2026-46584 plutôt que d'une nouvelle classe de défaut : un déploiement ayant appliqué cet avis et considérant camel-mail comme réglé restait exposé sur ce chemin. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Le format de données MimeMultipart applique désormais le filtre d'en-têtes lors du démarshalling, fermant ainsi le chemin que CVE-2026-46584 laissait ouvert. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, supprimez l'espace de noms après le format de données avec removeHeaders("mail.smtp*") avant tout producteur de courrier.

Sources

• CVE-2026-85314PoC

  Reproducteur de preuve de concept exécutable pour CVE-2026-85314, démontrant l'injection d'en-tête mail.smtp via MimeMultipart de camel-mail dans Camel Spring Boot et Camel Quarkus, avec des contrôles corrigés.