CVE-2026-46453

概要

不適切な入力検証、ユーザー制御キーによる認証バイパスの脆弱性がApache Camel ElasticSearch Rest Clientに存在します。camel-elasticsearch-rest-clientコンポーネントは、その動作を制御するために複数のExchangeヘッダーを読み取ります - SEARCH_QUERY（高度なクエリボディ）、OPERATION（実行するElasticsearch操作）、INDEX_NAME、INDEX_SETTINGS、ID。ElasticSearchRestClientConstantで定義されているこれらのヘッダー定数の文字列値は、他のすべてのCamelコンポーネントで使用されている'Camel'プレフィックス付きの名前（例：CamelSqlQuery、CamelMongoDbCriteria、CamelCqlQuery）ではなく、プレフィックスなしの平文名（'SEARCH_QUERY'、'OPERATION'、'INDEX_NAME'、'INDEX_SETTINGS'、'ID'）です。CamelのインバウンドHTTPヘッダーフィルターであるHttpHeaderFilterStrategyは、'Camel'または'camel'で始まるヘッダー名のみをブロックします。Elasticsearchのヘッダー名にはそのプレフィックスが付いていないため、インバウンドフィルターを変更されずに通過します。Camelルートがelasticsearch-rest-clientプロデューサーの前にHTTPエントリポイント（例：platform-http）を公開している場合、信頼できないHTTPクライアントはリクエストにこれらのヘッダーを直接設定し、ルート作成者が設定したクエリと操作を上書きできます：インデックス内のすべてのドキュメントを読み取る（match_allクエリを使用したSEARCH_QUERY）、ドキュメントを削除する（IDとともにDeleteに設定されたOPERATION）、または選択したフィールドを外部に持ち出すこと。認証情報は不要で、プロデューサーはヘッダーを無条件に読み取ります。この問題はApache Camelに影響します：4.3.0以降4.14.8未満、4.15.0以降4.18.3未満、4.19.0以降4.21.0未満。ユーザーは問題を修正するバージョン4.21.0にアップグレードすることを推奨されます。4.14.x LTSリリースストリームを使用しているユーザーは、4.14.8にアップグレードすることを推奨されます。4.18.xリリースストリームを使用しているユーザーは、4.18.3にアップグレードすることを推奨されます。この修正により、camel-elasticsearch-rest-clientのExchangeヘッダー定数の文字列値（ID、SEARCH_QUERY、INDEX_SETTINGS、INDEX_NAME、OPERATION）がCamelプレフィックス（CamelElasticsearchId、CamelElasticsearchSearchQuery、CamelElasticsearchIndexSettings、CamelElasticsearchIndexName、CamelElasticsearchOperation）を付けるように変更され、インバウンドのHttpHeaderFilterStrategyによってブロックされるようになります。Javaのフィールド名は変更されません。すぐにアップグレードできないデプロイメントでは、プロデューサーに到達する前に信頼できないインバウンドメッセージから影響を受けるヘッダーを除去してください（例：elasticsearch-rest-clientエンドポイントの前でremoveHeader('SEARCH_QUERY')、removeHeader('OPERATION')、removeHeader('INDEX_NAME')、removeHeader('INDEX_SETTINGS')、removeHeader('ID')）、またはこれらの名前をブロックするカスタムHeaderFilterStrategyを適用してください。

• CVE-2026-46453PoC

  CVE-2026-46453の再現ツール — Apache Camel camel-elasticsearch-rest-client プレフィックスなしヘッダーインジェクション（受信HTTPヘッダーによる操作/クエリのオーバーライド）