CVE-2026-85249

सारांश

Apache Camel Tika घटक में अनुचित इनपुट सत्यापन (Improper Input Validation) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। Tika प्रोड्यूसर सबमिट किए गए दस्तावेज़ से पार्स किए गए प्रत्येक मेटाडेटा कुंजी को बिना किसी फ़िल्टर के Exchange पर हेडर के रूप में मैप करता था। दस्तावेज़ मेटाडेटा हमलावर-नियंत्रित सामग्री है: जो पक्ष फ़ाइल प्रदान करता है, वही उसके द्वारा वहन की जाने वाली मेटाडेटा कुंजियाँ चुनता है। इसलिए एक तैयार किया गया दस्तावेज़ ऐसे Exchange हेडर सेट कर सकता था जिन पर शेष रूट निर्भर करता है, जिनमें Camel नेमस्पेस के हेडर जैसे CamelFileName भी शामिल हैं, जिनका उपयोग डाउनस्ट्रीम घटक यह तय करने के लिए करते हैं कि सामग्री कहाँ लिखी जाए। यह पैटर्न पहले प्रकाशित कंज़्यूमर सलाहों (advisories) के समान ही हेडर-इंजेक्शन श्रेणी का है, जो यहाँ प्रोटोकॉल हेडर के बजाय पार्स की गई फ़ाइल सामग्री के माध्यम से पहुँचा जाता है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। पार्स किया गया दस्तावेज़ मेटाडेटा अब Exchange पर मैप किए जाने से पहले HeaderFilterStrategy के माध्यम से फ़िल्टर किया जाता है। जो रूट किसी मेटाडेटा-व्युत्पन्न हेडर को पढ़ रहा था जिसे अब फ़िल्टर ब्लॉक करता है, उसे वह अनुपस्थित दिखेगा। जो परिनियोजन (deployments) तुरंत अपग्रेड नहीं कर सकते, उनके लिए Tika प्रोड्यूसर के बाद, उन हेडर पर कार्य करने वाले किसी भी घटक से पहले, removeHeaders("Camel*") के साथ Camel नेमस्पेस को हटा दें।

स्रोत

• CVE-2026-85249PoC

  CVE-2026-85249 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो प्रभावित और फ़िक्स्ड कंट्रोल्स के साथ CamelFileName में camel-tika मेटाडेटा हेडर इंजेक्शन का प्रदर्शन करता है।