CVE-2026-46584

概要

不適切な入力検証、認可されていないアクターへの機密情報の露出に関するApache Camel Mailコンポーネントの脆弱性。camel-mailプロデューサー（MailProducer.getSender）は、送信Exchangeをスキャンしてmail.smtp. / mail.smtps. 名前空間のメッセージヘッダーを探し、それらが存在する場合、それらの値をJavaMailセッションプロパティとして適用したメッセージごとのJavaMail送信者を構築し、エンドポイント設定を上書きしていました。この名前空間はCamel内部専用であり、MailProducerのみが解釈し、HeaderFilterStrategyによってブロックされなかったため、値は、介入するremoveHeadersなしにsmtp / smtpsプロデューサーで終わるルートに供給される任意のインバウンドプロトコル（例えば、platform-httpクエリパラメータやリクエストヘッダー、または信頼できないプロデューサーからのJMS / Kafkaメッセージ）から発生する可能性がありました。最大の影響はバージョンによって異なります。4.19.0より前のリリースでは、mail.smtp.hostを設定するとSMTP接続が攻撃者の制御下にあるサーバーにリダイレクトされ、プロデューサーがエンドポイントの設定済みユーザー名とパスワードで認証するため、それらの資格情報が攻撃者に送信されます。4.19.0以降では、プロデューザーはエンドポイントの設定済みホストに明示的に接続するため、到達可能な影響はトランスポートセキュリティの弱体化（例えば、mail.smtp.ssl.trust、mail.smtp.starttls.enable、mail.smtp.socks.host）と送信メッセージの傍受に限定され、ホストのリダイレクトには及びません。悪用には、名前空間を除去せずに信頼できない入力をメールプロデューサーに送り込むルートが必要です。この問題はApache Camelに影響します：4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーは、この問題を修正したバージョン4.21.0にアップグレードすることを推奨されます。4.14.x LTSリリースストリームを使用しているユーザーは、4.14.8にアップグレードすることを推奨されます。4.18.xリリースストリームを使用しているユーザーは、4.18.3にアップグレードすることを推奨されます。アップグレード後、メッセージごとの上書きはデフォルトで無効になり、useJavaMailSessionPropertiesFromHeaders=trueを使用して信頼できるエンドポイントでのみ有効にしてください。すぐにアップグレードできないデプロイメントでは、信頼できないイングレスとsmtp / smtpsプロデューサーの間で、removeHeaders('mail.smtp.*')およびremoveHeaders('mail.smtps.*')を使用してメールプロデューサーの前に名前空間を除去してください。オプトインを有効にした場合でも、ルート作成者は、信頼できない入力を運ぶすべてのパスで名前空間を除去する必要があります。

• CVE-2026-46584PoC

  CVE-2026-46584 の再現ツール: Apache Camel camel-mail の mail.smtp.* ヘッダインジェクションにより、パス上の SOCKS インターセプションを介した認証情報の窃取を可能にする (4.14.8/4.18.3/4.21.0 で修正済み)