CVE-2026-47323

सारांश

# Camel-CXF और Camel-Knative में मिसिंग इनबाउंड फ़िल्टरिंग के माध्यम से मैसेज हेडर इंजेक्शन CXF और Knative HeaderFilterStrategy कार्यान्वयन (camel-cxf-rest में `CxfRsHeaderFilterStrategy`, camel-cxf-transport में `CxfHeaderFilterStrategy`, और camel-knative-http में `KnativeHttpHeaderFilterStrategy`) केवल `setOutFilterStartsWith` के माध्यम से आउटबाउंड Camel-आंतरिक हेडर को फ़िल्टर करते हैं, जबकि `setInFilterStartsWith` के माध्यम से इनबाउंड फ़िल्टरिंग कॉन्फ़िगर नहीं करते हैं। इसके परिणामस्वरूप, एक अनप्रमाणित हमलावर HTTP अनुरोधों के माध्यम से CXF-RS या CXF-SOAP एंडपॉइंट्स में Camel-आंतरिक हेडर (जैसे `CamelExecCommandExecutable`, `CamelFileName`) इंजेक्ट कर सकता है। जब कोई रूट इन एंडपॉइंट्स से मैसेज को camel-exec या camel-file जैसे हेडर-संचालित घटकों तक अग्रेषित करता है, तो इंजेक्ट किए गए हेडर कॉन्फ़िगर किए गए मानों को ओवरराइड कर देते हैं, जिससे रिमोट कोड निष्पादन या मनमानी फ़ाइल लेखन संभव हो जाता है। यह वही पैटर्न है जिसे पहले camel-undertow (CVE-2025-30177), व्यापक इनकमिंग-हेडर फ़िल्टर (CVE-2025-27636 और CVE-2025-29891), और गैर-HTTP रणनीतियों (CVE-2026-40453) में संबोधित किया गया था। यह समस्या Apache Camel को प्रभावित करती है: 3.18.0 से 4.14.6 से पहले, 4.15.0 से 4.18.2 से पहले। उपयोगकर्ताओं को संस्करण 4.19.0 में अपग्रेड करने की अनुशंसा की जाती है, जो इस समस्या को ठीक करता है। यदि उपयोगकर्ता 4.18.x LTS रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.18.2 में अपग्रेड करने का सुझाव दिया जाता है। यदि उपयोगकर्ता 4.14.x LTS रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.14.6 में अपग्रेड करने का सुझाव दिया जाता है।

• CVE-2026-47323PoC

  CVE-2026-47323 के लिए रिप्रोड्यूसर: Apache Camel CXF/Knative HeaderFilterStrategy में इनबाउंड फ़िल्टरिंग की कमी, CXF-RS/CXF-SOAP/Knative एंडपॉइंट्स के माध्यम से Camel कंट्रोल-हेडर इंजेक्शन (camel-exec के माध्यम से RCE) सक्षम करना (4.14.6/4.18.2/4.19.0 में ठीक किया गया)