CVE-2026-46585

Riepilogo

Convalida dell'input impropria, bypass dell'autorizzazione tramite vulnerabilità della chiave controllata dall'utente nel componente Lucene di Apache Camel. Il producer camel-lucene legge la frase di ricerca da un header dell'Exchange (LuceneConstants.HEADER_QUERY) il cui valore era la stringa semplice QUERY (e RETURN_LUCENE_DOCS per HEADER_RETURN_LUCENE_DOCS). Poiché questi nomi non iniziano con il prefisso Camel / camel, HttpHeaderFilterStrategy - che blocca solo il namespace degli header Camel sul confine HTTP - li lascia passare da una richiesta HTTP in entrata direttamente nell'Exchange. In una route che espone un'operazione di query Lucene dietro un consumer HTTP (ad esempio platform-http), qualsiasi client HTTP potrebbe quindi impostare l'header QUERY e far eseguire il suo valore sull'indice full-text, sovrascrivendo la query che la route intendeva eseguire. A seconda di ciò che è indicizzato, questo consente di leggere documenti a cui la richiesta non dovrebbe avere accesso (ad esempio una query match-all restituisce l'intero indice, oppure il filtro per-utente previsto dalla route può essere sostituito), e query regex costose possono consumare una notevole quantità di CPU. Non sono richieste credenziali quando il consumer HTTP non è autenticato. Questo problema riguarda Apache Camel: dalla 4.0.0 prima della 4.14.8, dalla 4.15.0 prima della 4.18.3, dalla 4.19.0 prima della 4.21.0. Si consiglia agli utenti di aggiornare alla versione 4.21.0, che risolve il problema. Se gli utenti si trovano sul flusso di release LTS 4.14.x, si consiglia di aggiornare alla 4.14.8. Se gli utenti si trovano sul flusso di release 4.18.x, si consiglia di aggiornare alla 4.18.3. Dopo l'aggiornamento, le route che impostano la query tramite il nome dell'header grezzo devono utilizzare CamelLuceneQuery (e CamelLuceneReturnLuceneDocs) invece di QUERY / RETURN_LUCENE_DOCS. Per le distribuzioni che non possono aggiornare immediatamente, rimuovere gli header controllabili dall'attaccante prima del producer Lucene e impostare la query da una fonte attendibile (ad esempio removeHeader('QUERY') e removeHeader('RETURN_LUCENE_DOCS'), quindi setHeader('QUERY', constant(...)) all'inizio della route).

Fonti

• CVE-2026-46585PoC

  Riproduttore per CVE-2026-46585: iniezione nell'header QUERY di Apache Camel camel-lucene che consente il bypass dell'autorizzazione / esfiltrazione dei dati dell'indice (corretto in 4.14.8/4.18.3/4.21.0)