CVE-2026-46454

概要

Apache Camel Cometd コンポーネントにおける不適切な入力検証の脆弱性。camel-cometd コンポーネントは、HeaderFilterStrategy を適用せずに、受信した Bayeux (CometD) メッセージヘッダーを Camel Exchange にマッピングします。CometdBinding.populateExchangeFromMessage は、CometD クライアントによって提供された ext.CamelHeaders マップ全体を Camel メッセージに直接コピーするため (message.setHeaders)、CamelHttpUri、CamelFileName、CamelJmsDestinationName などの Camel 内部制御ヘッダーを含むあらゆるヘッダー名が、変更されることなく受け入れられます。CometdComponent はデフォルトでは Bayeux SecurityPolicy をインストールしないため、CometD エンドポイントに対して Bayeux ハンドシェイクを完了できるクライアントは、認証なしでそのようなメッセージを公開できます。したがって、攻撃者は、ルート内のダウンストリームプロデューサーの動作に影響を与える任意の Camel 制御ヘッダーを注入できます (たとえば、HTTP プロデューサーのリダイレクト、ファイル名の変更、JMS 宛先の上書きなど)。注入されたヘッダーは、内部の direct、seda、vm ホップをまたいでも保持されます。具体的なダウンストリームへの影響は、ルートが使用するプロデューサーによって異なります。この問題は Apache Camel に影響します: 4.0.0 から 4.14.8 未満、4.15.0 から 4.18.3 未満、4.19.0 から 4.21.0 未満。ユーザーは、この問題を修正したバージョン 4.21.0 にアップグレードすることをお勧めします。4.14.x LTS リリースストリームを使用しているユーザーは、4.14.8 にアップグレードすることをお勧めします。4.18.x リリースストリームを使用しているユーザーは、4.18.3 にアップグレードすることをお勧めします。この修正により、camel-cometd バインディングに HeaderFilterStrategy が実装され (コード内の長年の TODO)、受信マッピング時に Camel ヘッダー名前空間が大文字小文字を区別せずにフィルタリングされるため、クライアントが提供する Camel* / camel* ヘッダーは Exchange にコピーされなくなります。すぐにアップグレードできないデプロイメントの場合は、受信した CometD メッセージがダウンストリームプロデューサーに到達する前に Camel 制御ヘッダーを削除し (たとえば、ルートの先頭で removeHeaders('Camel*') および removeHeaders('camel*') を使用)、CometdComponent に明示的な Bayeux SecurityPolicy をインストールして、認証済みクライアントのみが公開できるようにしてください。

• CVE-2026-46454PoC

  CVE-2026-46454 の再現ツール — Apache Camel camel-cometd のインバウンド Bayeux ヘッダーインジェクション（未認証の Camel コントロールヘッダーインジェクション → ダウンストリームプロデューサーの操作 / RCE）