CVE-2026-80344

Riepilogo

Vulnerabilità Server-Side Request Forgery (SSRF) nel componente AS2 di Apache Camel. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Nel protocollo AS2 il mittente di un messaggio può richiedere che la Message Disposition Notification venga restituita in modo asincrono a un indirizzo fornito dal mittente stesso. camel-as2 prendeva quell'indirizzo dal messaggio in ingresso e lo usava come destinazione per la ricevuta in uscita senza vincolarlo a nulla che il deployment avesse configurato. Un partner remoto sceglieva quindi l'host a cui l'istanza Camel si sarebbe connessa durante la consegna dell'MDN. Ciò consente un server-side request forgery dalla posizione del ricevitore AS2, inclusa la possibilità di raggiungere host instradabili solo dall'interno della rete del deployment, e qualora la connessione in uscita trasporti credenziali configurate per la consegna degli MDN, tali credenziali vengono presentate alla destinazione scelta dall'attaccante. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti sul ramo delle release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. La destinazione asincrona degli MDN è ora vincolata anziché essere presa alla lettera dal messaggio in ingresso. Per i deployment che non possono aggiornare immediatamente, limitare la connettività in uscita dal ricevitore AS2 agli endpoint dei partner a cui consegna legittimamente le ricevute, e non associare alla consegna degli MDN credenziali valide per host diversi da tali partner.

Fonti

• CVE-2026-80344PoC

  Proof-of-concept eseguibile che riproduce CVE-2026-80344 in Apache Camel camel-as2, dimostrando SSRF asincrono tramite MDN e divulgazione di credenziali con build vulnerabili e corrette.