CVE-2026-85316

सारांश

Apache Camel Platform HTTP घटक में एक्सेस कंट्रोल की अपर्याप्त ग्रैन्युलैरिटी (Insufficient Granularity of Access Control) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। घटक ने यह तय किया कि कोई एंडपॉइंट प्रॉक्सी मोड में चलता है या नहीं, यह जाँच करके कि उसका कॉन्फ़िगर किया गया पाथ स्ट्रिंग proxy से शुरू होता है या नहीं, बजाय पाथ को ठीक-ठीक मिलान करने के। इसलिए कोई भी एंडपॉइंट जिसका पाथ केवल उन अक्षरों से शुरू होता है - proxyStatus, proxy-config, proxying इत्यादि - बिना रूट लेखक के अनुरोध के ही एक प्रॉक्सी एंडपॉइंट बन गया। एक प्रॉक्सी एंडपॉइंट अनुरोधों को आगे भेजता है, इसलिए जो एंडपॉइंट अपनी सामग्री परोसने के लिए था, वह इसके बजाय उसे कॉल करने वाले की ओर से ट्रैफ़िक रिले करता है, जो कि अनुरोध जालसाजी (request forgery) का एक आधार है और साथ ही फ़ॉरवर्डिंग पाथ जिस तक पहुँच सकता है, उसका एक्सपोज़र भी है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अब प्रॉक्सी मोड को प्रीफ़िक्स के बजाय सटीक पाथ मिलान द्वारा चुना जाता है। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, किसी भी एंडपॉइंट पाथ का नाम बदलें जो proxy से शुरू होता है लेकिन प्रॉक्सी होने के लिए अभिप्रेत नहीं है।

स्रोत

• CVE-2026-85316PoC

  CVE-2026-85316 के लिए रन करने योग्य प्रूफ-ऑफ-कॉन्सेप्ट रिप्रोड्यूसर, जो Apache Camel camel-platform-http पाथ प्रीफ़िक्स मिलान में अनपेक्षित प्रॉक्सी मोड को प्रदर्शित करता है, साथ में फ़िक्स्ड-वर्ज़न कंट्रोल्स भी।