CVE-2026-49098

概要

不適切な入力検証、ダウンストリームコンポーネントで使用される出力における特殊要素の不適切な無害化（'インジェクション'）に関するApache Camel Kafkaコンポーネントの脆弱性。camel-kafkaプロデューサは、実行時にkafka.OVERRIDE_TOPIC Exchangeヘッダーから設定済みのターゲットトピックを上書きできます：KafkaProducer.evaluateTopic()は、エンドポイントに設定されたトピックよりもヘッダー値を優先して返します。KafkaConstantsの制御ヘッダー定数（例：OVERRIDE_TOPIC = kafka.OVERRIDE_TOPIC、OVERRIDE_TIMESTAMP = kafka.OVERRIDE_TIMESTAMP、PARTITION_KEY = kafka.PARTITION_KEY）は、プレーンなCamelプレフィックスなしの値を使用していました。camel-kafka独自のKafkaHeaderFilterStrategyはkafka.*名前空間をフィルタリングしますが、これはKafka-to-Exchangeシリアライゼーション境界（KafkaレコードヘッダーをExchangeに読み込み、ExchangeヘッダーをKafkaレコードに書き込む）にのみ適用され、マルチコンポーネントルートで上流のコンシューマーから到着するヘッダーには適用されません。上流のHTTPコンシューマーはHttpHeaderFilterStrategyを使用し、これはCamel / camel名前空間のみをブロックするため、kafka.*ヘッダーはフィルタリングされずに通過します。その結果、HTTPコンシューマー（例：platform-http）をkafka:プロデューサにブリッジするルートでは、任意のHTTPクライアントがkafka.OVERRIDE_TOPICヘッダーを設定し、メッセージを設定済みのトピックではなく任意のKafkaトピックに公開させることができます - 機密性の高い内部トピックにリダイレクトしたり、攻撃者が作成したメッセージを重要なダウンストリームサービスが消費するトピックに注入したりできます。関連するkafka.OVERRIDE_TIMESTAMPおよびkafka.PARTITION_KEYヘッダーも同様に注入され、メッセージの日付を過去に偽装したり、特定のパーティションをターゲットにしたりする可能性があります。ブリッジングコンシューマーが認証されていない場合、資格情報は不要です。この問題はApache Camelに影響します：4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーは、この問題を修正するバージョン4.21.0にアップグレードすることを推奨されます。4.14.x LTSリリースストリームを使用している場合は、4.14.8にアップグレードすることを推奨します。4.18.xリリースストリームを使用している場合は、4.18.3にアップグレードすることを推奨します。アップグレード後、生のヘッダー名を介してKafkaヘッダーを設定または読み取るルートは、古いkafka.*値の代わりにCamelKafka*名（例：CamelKafkaOverrideTopicおよびCamelKafkaTopic）を使用する必要があります。すぐにアップグレードできないデプロイメントでは、kafka:プロデューサの前に信頼できないイングレスからkafka.*ヘッダーを除去し（例：ルートの先頭でremoveHeaders('kafka.*')）、ターゲットトピックを信頼できるソースから設定してください。

• CVE-2026-49098PoC

  CVE-2026-49098（Apache Camel camel-kafka）用のPoC再現コード：Camelプレフィックスが付かない kafka.OVERRIDE_TOPIC ヘッダーが上流のHTTPヘッダーフィルターをすり抜け、プロデューサーに設定されたトピックを上書きして、攻撃者が偽造したレコードを特権Kafkaトピックに注入します（クロストピック注入）。4.14.8/4.18.3/4.21.0 で修正済み。