CVE-2026-85249

Riepilogo

Vulnerabilità di convalida dell'input impropria nel componente Apache Camel Tika. Questo problema interessa Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il producer Tika mappava ogni chiave di metadati estratta dal documento inviato sull'Exchange come header, senza applicare alcun filtro. I metadati del documento sono contenuto controllato dall'attaccante: la parte che fornisce il file sceglie le chiavi di metadati che esso trasporta. Un documento appositamente costruito poteva quindi impostare header dell'Exchange da cui dipende il resto della route, inclusi header nel namespace Camel come CamelFileName, che i componenti a valle usano per decidere dove viene scritto il contenuto. Il pattern è la stessa classe di header-injection degli advisory sui consumer pubblicati in precedenza, raggiunta qui tramite il contenuto del file analizzato anziché tramite un header di protocollo. Eseguire l'aggiornamento ad Apache Camel 4.23.0, che risolve il problema. Gli utenti sul ramo delle release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. I metadati del documento analizzato vengono ora filtrati tramite un HeaderFilterStrategy prima di essere mappati sull'Exchange. Una route che leggeva un header derivato dai metadati che il filtro ora blocca lo vedrà mancante. Per le installazioni che non possono aggiornare immediatamente, rimuovere il namespace Camel dopo il producer Tika con removeHeaders("Camel*") prima di qualsiasi componente che agisce su tali header.

Fonti

• CVE-2026-85249PoC

  Reproducer eseguibile per Spring Boot e Quarkus relativo a CVE-2026-85249, che dimostra l'iniezione dell'header dei metadati di camel-tika in CamelFileName con controlli vulnerabili e corretti.