CVE-2026-80343

सारांश

Apache Camel Netty HTTP घटक में केस संवेदनशीलता (Case Sensitivity) के अनुचित प्रबंधन का भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। camel-netty-http सुरक्षा बाधा (security constraint) अनुरोध पथ (request path) की तुलना कॉन्फ़िगर किए गए संदर्भ पथ (context path) से केस-संवेदी मिलान का उपयोग करके करती थी, जबकि अनुरोध को एंडपॉइंट तक पहुँचाने वाले राउटिंग में वही नियम लागू नहीं होता था। इसलिए किसी भी ऐसे पथ के लिए जिसका केस कॉन्फ़िगर किए गए मान से भिन्न था, दोनों तुलनाएँ आपस में मेल नहीं खाती थीं। कोई बाहरी कॉलर किसी पथ खंड में किसी अक्षर का केस बदल सकता था ताकि सुरक्षा बाधा उस पथ को संरक्षित के रूप में पहचानना बंद कर दे, जबकि अनुरोध अभी भी उसी एंडपॉइंट तक पहुँचता रहे। परिणाम यह है कि बाधा को छोड़ दिया जाता है और संरक्षित मार्ग तक उसे संतुष्ट किए बिना ही पहुँचा जा सकता है। उपभोक्ता (consumer) को अनुरोध भेजने की क्षमता के अलावा किसी क्रेडेंशियल, पूर्व पहुँच या विशेष कॉन्फ़िगरेशन की आवश्यकता नहीं है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अब बाधा अनुरोध पथ का मिलान उन्हीं केस नियमों से करती है जो डिस्पैच उपयोग करता है, इसलिए दोनों अब आपस में मेल नहीं खा सकते। जिन डिप्लॉयमेंट्स को तुरंत अपग्रेड नहीं किया जा सकता, उनके लिए प्राधिकरण निर्णय (authorization decision) को Camel उपभोक्ता के सामने रखें, उदाहरण के लिए किसी रिवर्स प्रॉक्सी में जो अग्रेषित करने से पहले अनुरोध पथ को सामान्यीकृत (normalise) करता है।

स्रोत

• CVE-2026-80343PoC

  CVE-2026-80343 के लिए रन करने योग्य प्रूफ-ऑफ-कॉन्सेप्ट, जो camel-netty-http सुरक्षा-बाधा केस-संवेदनशीलता बायपास है, जिसमें Spring Boot और Quarkus रीप्रोड्यूसर और फ़िक्स सत्यापन शामिल हैं।