CVE-2026-33453

Riepilogo

Vulnerabilità di modifica non correttamente controllata degli attributi di oggetti determinati dinamicamente nel componente Apache Camel Camel-Coap. Il componente camel-coap di Apache Camel è vulnerabile all'iniezione di header dei messaggi Camel, che porta all'esecuzione remota di codice quando le route inoltrano richieste CoAP a producer sensibili agli header (ad es. camel-exec). Il componente camel-coap mappa i parametri di query dell'URI delle richieste CoAP in arrivo direttamente negli header dei messaggi In di Camel Exchange senza applicare alcuna HeaderFilterStrategy. Nello specifico, CamelCoapResource.handleRequest() itera su OptionSet.getUriQuery() e chiama camelExchange.getIn().setHeader(...) per ogni parametro di query. CoAPEndpoint estende DefaultEndpoint piuttosto che DefaultHeaderFilterStrategyEndpoint, e CoAPComponent non implementa HeaderFilterStrategyComponent; il componente non contiene alcun riferimento a HeaderFilterStrategy. Di conseguenza, un attaccante non autenticato che può inviare un singolo pacchetto UDP CoAP a una route Camel che consuma da coap:// può iniettare header interni arbitrari di Camel (quelli con prefisso Camel*) nell'Exchange. Quando la route consegna il messaggio a un producer sensibile agli header come camel-exec, camel-sql, camel-bean, camel-file o componenti template (camel-freemarker, camel-velocity), gli header iniettati possono alterare il comportamento del producer. Nel caso di camel-exec, gli header CamelExecCommandExecutable e CamelExecCommandArgs sovrascrivono l'eseguibile e gli argomenti configurati sull'endpoint, risultando nell'esecuzione arbitraria di comandi del sistema operativo con i privilegi del processo Camel. L'output del producer viene scritto nuovamente nel corpo dell'Exchange e restituito nel payload della risposta CoAP da CamelCoapResource, fornendo all'attaccante un canale RCE interattivo senza alcuna necessità di esfiltrazione out-of-band. I prerequisiti per lo sfruttamento sono minimi: un singolo datagramma UDP non autenticato alla porta CoAP (default 5683). CoAP (RFC 7252) non ha autenticazione integrata, e DTLS è opzionale e disabilitato per impostazione predefinita. Poiché il protocollo è basato su UDP, i controlli WAF/IDS a livello HTTP non si applicano. Questo problema riguarda Apache Camel: dalla 4.14.0 alla 4.14.5, dalla 4.18.0 prima della 4.18.1, 4.19.0. Si consiglia agli utenti di aggiornare alla versione 4.18.1 o 4.19.0, che risolve il problema.