CVE-2026-46585

概要

不適切な入力検証、ユーザー制御キーによる認証バイパスの脆弱性がApache Camel Luceneコンポーネントに存在します。camel-luceneプロデューサーは、Exchangeヘッダー（LuceneConstants.HEADER_QUERY）から検索フレーズを読み取りますが、その値はプレーンな文字列QUERY（およびHEADER_RETURN_LUCENE_DOCSの場合はRETURN_LUCENE_DOCS）でした。これらの名前はCamel / camelプレフィックスで始まらないため、HTTP境界でCamelヘッダーの名前空間のみをブロックするHttpHeaderFilterStrategyは、インバウンドHTTPリクエストからExchangeへそのまま通過させてしまいました。HTTPコンシューマー（例：platform-http）の背後でLuceneクエリ操作を公開するルートでは、任意のHTTPクライアントがQUERYヘッダーを設定し、その値を全文インデックスに対して実行させ、ルートが実行しようとしたクエリを上書きできてしまいます。インデックスされている内容によっては、リクエストがアクセスすべきでないドキュメントを読み取ることが可能になり（例えば、match-allクエリはインデックス全体を返す、またはルートが意図したユーザーごとのフィルターを置き換えることが可能）、また高コストな正規表現クエリは多大なCPUを消費する可能性があります。HTTPコンシューマーが認証なしの場合、資格情報は不要です。この問題はApache Camelに影響します：4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーはこの問題を修正したバージョン4.21.0にアップグレードすることを推奨されます。4.14.x LTSリリースストリームをご利用の場合は、4.14.8にアップグレードすることを推奨します。4.18.xリリースストリームをご利用の場合は、4.18.3にアップグレードすることを推奨します。アップグレード後、生のヘッダー名でクエリを設定するルートは、QUERY / RETURN_LUCENE_DOCSの代わりにCamelLuceneQuery（およびCamelLuceneReturnLuceneDocs）を使用する必要があります。すぐにアップグレードできないデプロイメントでは、Luceneプロデューサーの前に攻撃者が制御可能なヘッダーを除去し、信頼できるソースからクエリを設定してください（例：ルートの先頭でremoveHeader('QUERY')およびremoveHeader('RETURN_LUCENE_DOCS')を実行し、その後setHeader('QUERY', constant(...))を設定）。

• CVE-2026-46585PoC

  Reproducer for CVE-2026-46585: Apache Camel camel-lucene の QUERY ヘッダインジェクションにより、認証バイパス / インデックスデータの漏洩を可能にする脆弱性の再現ツール（修正バージョン: 4.14.8 / 4.18.3 / 4.21.0）