CVE-2026-46592

सारांश

अनुचित इनपुट सत्यापन, अनपेक्षित प्रॉक्सी या मध्यस्थ ('Confused Deputy') भेद्यता Apache Camel CXF SOAP घटक में। camel-cxf प्रोड्यूसर बैकएंड सेवा पर कौन सा SOAP ऑपरेशन आमंत्रित करना है, यह operationName (और operationNamespace) Exchange हेडर से चुनता है, जिनके स्थिर मान (CxfConstants.OPERATION_NAME / OPERATION_NAMESPACE) सादे स्ट्रिंग operationName / operationNamespace थे। चूँकि ये नाम Camel / camel उपसर्ग से शुरू नहीं होते, HttpHeaderFilterStrategy - जो HTTP सीमा पर केवल Camel हेडर नेमस्पेस को अवरुद्ध करता है - उन्हें इनबाउंड HTTP अनुरोध से सीधे Exchange में जाने देता है। ऐसे रूट में जो HTTP कंज्यूमर (उदाहरण के लिए platform-http) को cxf: प्रोड्यूसर से जोड़ता है, कोई भी HTTP क्लाइंट operationName हेडर सेट कर सकता है और CxfProducer को रूट के इच्छित ऑपरेशन से भिन्न WSDL ऑपरेशन को हल करने और आमंत्रित करने के लिए प्रेरित कर सकता है - उदाहरण के लिए पढ़ने वाले ऑपरेशन को विनाशकारी ऑपरेशन से बदलना - बैकएंड SOAP सेवा के विरुद्ध (एक confused-deputy पुनर्निर्देशन)। यह स्थिरांक साझा camel-cxf-common मॉड्यूल में परिभाषित है, इसलिए वही गैर-उपसर्गित नाम camel-cxfrs पर भी लागू होते हैं। जब ब्रिजिंग कंज्यूमर अप्रमाणित होता है तो कोई क्रेडेंशियल आवश्यक नहीं होते। यह मुद्दा Apache Camel को प्रभावित करता है: 4.0.0 से पहले 4.14.8 तक, 4.15.0 से पहले 4.18.3 तक, 4.19.0 से पहले 4.21.0 तक। उपयोगकर्ताओं को संस्करण 4.21.0 में अपग्रेड करने की अनुशंसा की जाती है, जो इस मुद्दे को ठीक करता है। यदि उपयोगकर्ता 4.14.x LTS रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.14.8 में अपग्रेड करने का सुझाव दिया जाता है। यदि उपयोगकर्ता 4.18.x रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.18.3 में अपग्रेड करने का सुझाव दिया जाता है। अपग्रेड के बाद, ऑपरेशन-चयन हेडर का नाम CamelCxfOperationName / CamelCxfOperationNamespace रखा गया है और परिवहन सीमाओं पर फ़िल्टर किए जाते हैं; क्रॉस-ट्रांसपोर्ट कैरियर-हेडर पैटर्न के लिए 4.21 अपग्रेड गाइड देखें। उन परिनियोजनों के लिए जो तुरंत अपग्रेड नहीं कर सकते, CXF ऑपरेशन को अविश्वसनीय इनपुट से न चुनें: cxf: प्रोड्यूसर से पहले किसी भी अविश्वसनीय इनग्रेस से operationName और operationNamespace हेडर हटा दें और रूट में किसी विश्वसनीय स्रोत से ऑपरेशन सेट करें।

• CVE-2026-46592