CVE-2026-48206

概要

不適切な入力検証、ユーザー制御キーによる認証バイパスの脆弱性がApache Camel JIRAコンポーネントに存在します。camel-jiraプロデューサは、その操作パラメータ（イシューキー、プロジェクトキー、トランジションID、サマリー、タイプ、担当者、コンポーネント、ウォッチャー、リンクタイプ、作業ログの分数など）をExchangeメッセージヘッダーから読み取ります。JiraConstantsで定義されているヘッダー定数（例：ISSUE_KEY = IssueKey、ISSUE_PROJECT_KEY = ProjectKey、ISSUE_TRANSITION_ID = IssueTransitionId、LINK_TYPE = linkType）は、プレーンなCamelプレフィックスなしの値を使用していました。これらの名前はCamel / camelプレフィックスで始まらないため、HTTP境界でCamelヘッダーの名前空間のみをブロックするHttpHeaderFilterStrategyは、これらをインバウンドHTTPリクエストからExchangeへそのまま通過させました。HTTPコンシューマ（例：platform-http）をjira: プロデューサにブリッジするルートでは、任意のHTTPクライアントがこれらのヘッダーを供給してルートが意図した値を上書きし、エンドポイントで設定されたサービスアカウントの認証情報を使用して、設定されたJIRAインスタンスに対してJIRA操作を実行できました。例えば、任意のイシューの削除やトランジション（IssueKey / IssueTransitionId経由）、別のプロジェクトでのイシュー作成（ProjectKey経由）、イシューフィールドの変更、ウォッチャーの追加・削除、作業ログの記録などが可能です。操作は、設定されたサービスアカウントに許可されている範囲に限定されます。ブリッジするコンシューマが認証なしの場合、攻撃者に認証情報は不要です。この問題はApache Camelに影響します：4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーはこの問題を修正したバージョン4.21.0にアップグレードすることを推奨されます。4.14.x LTSリリースストリームを使用している場合は、4.14.8にアップグレードすることを推奨します。4.18.xリリースストリームを使用している場合は、4.18.3にアップグレードすることを推奨します。アップグレード後、生のヘッダー名を介してJIRA操作を駆動するルートは、古い値の代わりにCamelJira*名（例：CamelJiraIssueKey）を使用する必要があります。すぐにアップグレードできないデプロイメントでは、jira: プロデューサの前に、信頼できないイングレスからcamel-jira制御ヘッダーを除去し（例：ルートの先頭でIssueKey、ProjectKey、IssueTransitionIdおよび関連ヘッダーを削除）、必要なJIRA操作パラメータを信頼できるソースから設定してください。

• CVE-2026-48206PoC

  CVE-2026-48206 の再現コード: Apache Camel camel-jira の IssueKey（およびその他の Camel プレフィックスを持たない）ヘッダーインジェクションにより、エンドポイントのサービスアカウント認証情報を使用して任意の JIRA 課題操作を実行可能（4.14.8/4.18.3/4.21.0 で修正済み）