CVE-2026-49097

概要

不適切な入力検証、Apache Camel IRCコンポーネントにおけるダウンストリームコンポーネントで使用される出力内の特殊要素の不適切な無害化（'インジェクション'）の脆弱性。camel-ircプロデューサーは、送信IRCメッセージの宛先をirc.sendTo Exchangeヘッダー（定数IrcConstants.IRC_SEND_TO、値irc.sendTo）から選択します。このヘッダーが存在する場合、エンドポイントで設定されたチャンネルリストを上書きし、メッセージは指定された宛先にのみ送信されます。このヘッダーおよびコンポーネントの他の制御ヘッダー（irc.target、irc.messageType、irc.user.*、irc.num、irc.value）は、プレーンなCamelプレフィックスなしの値を使用していました。これらの名前はCamel / camelプレフィックスで始まらないため、HTTP境界でCamelヘッダー名前空間のみをブロックするHttpHeaderFilterStrategyは、インバウンドHTTPリクエストからExchangeへそのまま通過させていました。HTTPコンシューマー（例：platform-http）をirc: プロデューザーにブリッジするルートでは、任意のHTTPクライアントがirc.sendToヘッダーを設定し、ルートが設定済みチャンネルに送信しようとしたメッセージを任意のIRCチャンネルまたはユーザーにリダイレクトでき、攻撃者が選択したニックネームにメッセージ内容を外部送信したり、公開チャンネルに漏えいさせたり、ボットから送信されたように見えるメッセージを配信したりすることができました。ブリッジするコンシューマーが認証されていない場合、資格情報は不要です。この問題はApache Camelに影響します：4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーは問題を修正するバージョン4.21.0にアップグレードすることを推奨されます。4.14.x LTSリリースストリームを使用している場合は、4.14.8にアップグレードすることを推奨します。4.18.xリリースストリームを使用している場合は、4.18.3にアップグレードすることを推奨します。アップグレード後、生のヘッダー名でIRCヘッダーを設定するルートは、古いirc.*値の代わりにCamelIrc*名（例：CamelIrcSendTo）を使用する必要があります。すぐにアップグレードできないデプロイメントでは、irc: プロデューサーの前に信頼できないすべてのイングレスからirc.*ヘッダーを除去し（例：ルートの先頭でremoveHeaders('irc.*')）、IRC宛先を信頼できるソースから設定してください。

• CVE-2026-49097PoC

  CVE-2026-49097 (Apache Camel camel-irc) のPoC再現コード: Camelプレフィックスが付いていない irc.sendTo ヘッダーはHTTPヘッダーフィルターをすり抜け、プロデューサーに設定されたチャンネルを上書きして、IRCメッセージを攻撃者が選択した宛先にリダイレクトします。4.14.8/4.18.3/4.21.0 で修正済み。