CVE-2026-85314

सारांश

Apache Camel Mail घटक में अनुचित इनपुट सत्यापन (Improper Input Validation) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। CVE-2026-46584 ने मेल हेडर के हेडर फ़िल्टर से गुज़रे बिना Exchange तक पहुँचने की समस्या का समाधान किया था, लेकिन MimeMultipart डेटा फ़ॉर्मेट में एक अफ़िल्टर्ड पथ शेष रह गया: एक मल्टीपार्ट संदेश को अनमार्शल करते समय mail.smtp हेडर बिना कोई फ़िल्टर लागू किए Exchange पर मैप हो जाते थे। ये नाम उस Camel नेमस्पेस से बाहर हैं जिन्हें कंज़्यूमर फ़िल्टर ब्लॉक करते हैं, इसलिए किसी बाहरी प्रेषक द्वारा तैयार किया गया संदेश अभी भी इन्हें सेट कर सकता था, और mail.smtp नेमस्पेस इस बात को प्रभावित करता है कि कोई डाउनस्ट्रीम मेल प्रोड्यूसर कैसे कनेक्ट और भेजता है। यह CVE-2026-46584 का एक अपूर्ण फ़िक्स है, न कि दोष की कोई नई श्रेणी: जिस डिप्लॉयमेंट ने उस एडवाइज़री को लागू किया था और camel-mail को सुलझा हुआ मान लिया था, वह इस पथ पर अभी भी उजागर रहा। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। MimeMultipart डेटा फ़ॉर्मेट अब अनमार्शल पर हेडर फ़िल्टर लागू करता है, जिससे वह पथ बंद हो जाता है जिसे CVE-2026-46584 ने खुला छोड़ दिया था। जो डिप्लॉयमेंट तुरंत अपग्रेड नहीं कर सकते, उनके लिए किसी भी मेल प्रोड्यूसर से पहले डेटा फ़ॉर्मेट के बाद removeHeaders("mail.smtp*") के साथ नेमस्पेस को हटा दें।

स्रोत

• CVE-2026-85314PoC

  CVE-2026-85314 के लिए रन करने योग्य प्रूफ-ऑफ-कॉन्सेप्ट रिप्रोड्यूसर, जो Camel Spring Boot और Camel Quarkus में camel-mail MimeMultipart mail.smtp हेडर इंजेक्शन को प्रदर्शित करता है, पैच किए गए नियंत्रणों के साथ।