CVE-2026-46454

सारांश

Apache Camel Cometd घटक में अनुचित इनपुट सत्यापन भेद्यता। camel-cometd घटक आने वाले Bayeux (CometD) संदेश हेडर को HeaderFilterStrategy लागू किए बिना Camel Exchange में मैप करता है। CometdBinding.populateExchangeFromMessage CometD क्लाइंट द्वारा आपूर्ति किए गए संपूर्ण ext.CamelHeaders मैप को सीधे Camel संदेश पर कॉपी करता है (message.setHeaders), इसलिए कोई भी हेडर नाम - जिसमें Camel-आंतरिक नियंत्रण हेडर जैसे CamelHttpUri, CamelFileName या CamelJmsDestinationName शामिल हैं - बिना किसी संशोधन के स्वीकार किया जाता है। चूंकि CometdComponent डिफ़ॉल्ट रूप से कोई Bayeux SecurityPolicy स्थापित नहीं करता है, कोई भी क्लाइंट जो CometD एंडपॉइंट के विरुद्ध Bayeux हैंडशेक पूरा कर सकता है, बिना प्रमाणीकरण के ऐसा संदेश प्रकाशित कर सकता है। इसलिए एक हमलावर मनमाने Camel नियंत्रण हेडर इंजेक्ट कर सकता है जो रूट में डाउनस्ट्रीम प्रोड्यूसर के व्यवहार को प्रभावित करते हैं (उदाहरण के लिए HTTP प्रोड्यूसर को पुनर्निर्देशित करना, फ़ाइल नाम बदलना, या JMS गंतव्य को ओवरराइड करना); इंजेक्ट किए गए हेडर आंतरिक direct, seda और vm हॉप्स में भी बने रहते हैं। ठोस डाउनस्ट्रीम प्रभाव इस बात पर निर्भर करता है कि रूट किन प्रोड्यूसर का उपयोग करता है। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से पहले 4.14.8 तक, 4.15.0 से पहले 4.18.3 तक, 4.19.0 से पहले 4.21.0 तक। उपयोगकर्ताओं को संस्करण 4.21.0 में अपग्रेड करने की अनुशंसा की जाती है, जो समस्या को ठीक करता है। यदि उपयोगकर्ता 4.14.x LTS रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.14.8 में अपग्रेड करने का सुझाव दिया जाता है। यदि उपयोगकर्ता 4.18.x रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.18.3 में अपग्रेड करने का सुझाव दिया जाता है। फिक्स camel-cometd बाइंडिंग में एक HeaderFilterStrategy लागू करता है (कोड में एक लंबे समय से लंबित TODO) जो इनबाउंड मैपिंग पर Camel हेडर नेमस्पेस को केस-असंवेदनशील रूप से फ़िल्टर करता है, ताकि क्लाइंट-आपूर्ति किए गए Camel* / camel* हेडर अब Exchange में कॉपी न हों। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, किसी भी डाउनस्ट्रीम प्रोड्यूसर तक पहुंचने से पहले आने वाले CometD संदेशों से Camel नियंत्रण हेडर हटा दें (उदाहरण के लिए रूट की शुरुआत में removeHeaders('Camel*') और removeHeaders('camel*')), और CometdComponent पर एक स्पष्ट Bayeux SecurityPolicy स्थापित करें ताकि केवल प्रमाणित क्लाइंट ही प्रकाशित कर सकें।

• CVE-2026-46454