CVE-2026-85314

Riepilogo

Vulnerabilità di convalida dell'input non corretta nel componente Apache Camel Mail. Questo problema interessa Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. CVE-2026-46584 aveva risolto il problema delle intestazioni mail che raggiungevano l'Exchange senza passare attraverso un filtro delle intestazioni, ma il formato dati MimeMultipart conservava un percorso non filtrato: l'unmarshalling di un messaggio multipart mappava le intestazioni mail.smtp sull'Exchange senza che fosse applicato alcun filtro. Tali nomi si trovano al di fuori del namespace Camel bloccato dai filtri dei consumer, quindi un messaggio confezionato da un mittente esterno poteva comunque impostarli, e il namespace mail.smtp influenza il modo in cui un mail producer a valle si connette e invia. Si tratta di una correzione incompleta di CVE-2026-46584 e non di una nuova classe di difetto: un deployment che aveva applicato quell'advisory e considerava camel-mail risolto rimaneva esposto su questo percorso. Eseguire l'aggiornamento ad Apache Camel 4.23.0, che risolve il problema. Gli utenti sul ramo delle release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. Il formato dati MimeMultipart ora applica il filtro delle intestazioni durante l'unmarshal, chiudendo il percorso lasciato aperto da CVE-2026-46584. Per i deployment che non possono aggiornare immediatamente, rimuovere il namespace dopo il formato dati con removeHeaders("mail.smtp*") prima di qualsiasi mail producer.

Fonti

• CVE-2026-85314PoC

  PoC riproducibile ed eseguibile per CVE-2026-85314, che dimostra l'iniezione di header mail.smtp tramite MimeMultipart di camel-mail in Camel Spring Boot e Camel Quarkus, con controlli corretti.