CVE-2026-48206

Riepilogo

Convalida dell'input impropria, bypass dell'autorizzazione tramite vulnerabilità della chiave controllata dall'utente nel componente JIRA di Apache Camel. I producer di camel-jira leggono i loro parametri operativi — la chiave dell'issue, la chiave del progetto, l'ID della transizione, il riepilogo, il tipo, l'assegnatario, i componenti, i watcher, il tipo di collegamento, i minuti del work-log e altri — dagli header dei messaggi Exchange. Le costanti degli header definite in JiraConstants (ad esempio ISSUE_KEY = IssueKey, ISSUE_PROJECT_KEY = ProjectKey, ISSUE_TRANSITION_ID = IssueTransitionId, LINK_TYPE = linkType) utilizzavano valori semplici, senza prefisso Camel. Poiché questi nomi non iniziano con il prefisso Camel / camel, HttpHeaderFilterStrategy — che blocca solo il namespace degli header Camel sul confine HTTP — li lasciava passare da una richiesta HTTP in entrata direttamente nell'Exchange. In una route che collega un consumer HTTP (ad esempio platform-http) a un producer jira:, qualsiasi client HTTP poteva quindi fornire questi header e sovrascrivere i valori che la route intendeva, guidando le operazioni JIRA contro l'istanza JIRA configurata con le credenziali dell'account di servizio configurato dell'endpoint — ad esempio eliminando o trasferendo un'issue arbitraria (tramite IssueKey / IssueTransitionId), creando un'issue in un progetto diverso (tramite ProjectKey), modificando i campi dell'issue, aggiungendo o rimuovendo watcher, o registrando lavoro. Le operazioni sono limitate da ciò che l'account di servizio configurato è autorizzato a fare. Non sono richieste credenziali all'attaccante quando il consumer di collegamento non è autenticato. Questo problema riguarda Apache Camel: dalla 4.0.0 prima della 4.14.8, dalla 4.15.0 prima della 4.18.3, dalla 4.19.0 prima della 4.21.0. Si consiglia agli utenti di aggiornare alla versione 4.21.0, che risolve il problema. Se gli utenti sono sul flusso di release LTS 4.14.x, si consiglia di aggiornare alla 4.14.8. Se gli utenti sono sul flusso di release 4.18.x, si consiglia di aggiornare alla 4.18.3. Dopo l'aggiornamento, le route che guidano le operazioni JIRA tramite i nomi degli header grezzi devono utilizzare i nomi CamelJira* (ad esempio CamelJiraIssueKey) invece dei vecchi valori. Per le distribuzioni che non possono aggiornare immediatamente, rimuovere gli header di controllo camel-jira da qualsiasi ingresso non attendibile prima del producer jira: (ad esempio rimuovendo IssueKey, ProjectKey, IssueTransitionId e gli header correlati all'inizio della route) e impostare i parametri operativi JIRA richiesti da una fonte attendibile.