CVE-2026-49086

सारांश

अनुचित इनपुट सत्यापन, अनपेक्षित प्रॉक्सी या मध्यस्थ ('Confused Deputy') भेद्यता Apache Camel DAPR घटक में। camel-dapr Dapr Pub/Sub उपभोक्ता (DaprPubSubConsumer) प्रत्येक इनबाउंड CloudEvent से दो फ़ील्ड कॉपी करता था - इसका Pub/Sub घटक नाम और इसका टॉपिक - CamelDaprPubSubName और CamelDaprTopic Exchange हेडर में। ये दो हेडर प्रोड्यूसर-दिशा रूटिंग हेडर हैं: जब रूट Dapr प्रोड्यूसर के माध्यम से पुनः प्रकाशित करता है, तो DaprConfigurationOptionsProxy उन्हें वापस पढ़ता है और उन्हें एंडपॉइंट पर कॉन्फ़िगर किए गए गंतव्य पर प्राथमिकता देता है। परिणामस्वरूप, एक रूट में जो एक Dapr Pub/Sub टॉपिक से उपभोग करता है और दूसरे पर पुनः प्रकाशित करता है (उदाहरण के लिए from('dapr-pubsub:p:t').to('dapr-pubsub:p:other')), एक अभिनेता जो सब्सक्राइब किए गए टॉपिक पर संदेश प्रकाशित करने में सक्षम है, CloudEvent के pub/sub-नाम और टॉपिक को अपनी पसंद के मानों पर सेट कर सकता है और पुनः प्रकाशित संदेश को कॉन्फ़िगर किए गए गंतव्य के बजाय एक मनमाने Dapr Pub/Sub घटक और टॉपिक पर पहुंचा सकता है - संदेश को पुनर्निर्देशित या बाहर निकाल सकता है और रूट के इच्छित रूटिंग और अंतर्निहित ब्रोकर में किसी भी टॉपिक-स्तरीय एक्सेस नियंत्रण को बायपास कर सकता है। शोषण के लिए उस टॉपिक पर प्रकाशित करने की क्षमता की आवश्यकता होती है जिसकी रूट सदस्यता लेती है; किसी अन्य प्रमाणीकरण या उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं है। यह मुद्दा Apache Camel को प्रभावित करता है: 4.12.0 से पहले 4.14.8 तक, 4.15.0 से पहले 4.18.3 तक, 4.19.0 से पहले 4.21.0 तक। उपयोगकर्ताओं को संस्करण 4.21.0 में अपग्रेड करने की अनुशंसा की जाती है, जो इस मुद्दे को ठीक करता है। यदि उपयोगकर्ता 4.14.x LTS रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.14.8 में अपग्रेड करने का सुझाव दिया जाता है। यदि उपयोगकर्ता 4.18.x रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.18.3 में अपग्रेड करने का सुझाव दिया जाता है। उन परिनियोजनों के लिए जो तुरंत अपग्रेड नहीं कर सकते, रूट में Dapr उपभोक्ता और किसी भी Dapr प्रोड्यूसर के बीच Exchange से CamelDaprPubSubName और CamelDaprTopic हेडर हटा दें (उदाहरण के लिए removeHeaders('CamelDaprPubSubName', 'CamelDaprTopic')), और प्रतिबंधित करें कि सब्सक्राइब किए गए Dapr Pub/Sub टॉपिक पर कौन प्रकाशित कर सकता है ताकि केवल विश्वसनीय प्रोड्यूसर ही उसे भेज सकें।

• CVE-2026-49086