CVE-2026-63621

Riepilogo

Vulnerabilità di convalida impropria dell'input e neutralizzazione impropria di elementi speciali nell'output utilizzato da un componente a valle ('Injection') nel componente Knative di Apache Camel Il consumer Knative in camel-knative mappa gli attributi CloudEvent in ingresso sulle intestazioni dei messaggi Camel. In modalità contenuto binario, il percorso delle intestazioni HTTP filtra le intestazioni interne di Camel tramite KnativeHttpHeaderFilterStrategy, ma in modalità contenuto strutturato (Content-Type application/cloudevents+json) i campi di estensione CloudEvent vengono letti direttamente dal corpo JSON e ogni chiave di estensione viene copiata nelle intestazioni Exchange senza applicare alcuna HeaderFilterStrategy (CloudEventProcessors, versioni spec 1.0, 1.0.1 e 1.0.2). Di conseguenza, un attaccante non autenticato può iniettare intestazioni interne di Camel (ad es. CamelHttpUri, CamelHttpPath, CamelFileName) tramite una richiesta CloudEvent in modalità strutturata, confrontate senza distinzione tra maiuscole e minuscole con la mappa delle intestazioni di Camel. Quando una route inoltra messaggi da un consumer Knative a un componente guidato dalle intestazioni come camel-http o camel-file, le intestazioni iniettate sovrascrivono i valori configurati, consentendo server-side request forgery (SSRF), path traversal o reindirizzamento dell'invio dei messaggi a seconda della route. Si tratta di una correzione incompleta del filtraggio delle intestazioni in ingresso aggiunto in precedenza per il percorso in modalità contenuto binario, ed è lo stesso pattern affrontato in camel-cxf/camel-knative (CVE-2026-47323), camel-undertow (CVE-2025-30177), il filtro più ampio delle intestazioni in ingresso (CVE-2025-27636 e CVE-2025-29891) e le strategie non HTTP (CVE-2026-40453). Questo problema riguarda Apache Camel: dalla 3.15.0 prima della 4.14.9, dalla 4.15.0 prima della 4.18.4, dalla 4.19.0 prima della 4.21.0. Si consiglia agli utenti di aggiornare alla versione 4.22.0, che risolve il problema. Se gli utenti si trovano sul ramo di release LTS 4.18.x, si suggerisce di aggiornare alla 4.18.4. Se gli utenti si trovano sul ramo di release LTS 4.14.x, si suggerisce di aggiornare alla 4.14.9. Le release non LTS dalla 4.15.0 alla 4.17.0 e dalla 4.19.0 alla 4.21.0 sono interessate ma non ricevono una correzione di manutenzione; gli utenti su queste versioni dovrebbero aggiornare alla 4.18.4 o alla 4.22.0.