CVE-2026-55994

概要

Improper Input Validation（不適切な入力検証）、Unauthorized Actor への Sensitive Information の露出（権限のないアクターへの機密情報の露出）、Apache Camel の Iggy コンポーネントにおける Server-Side Request Forgery（SSRF、サーバーサイドリクエストフォージェリ）の脆弱性。camel-iggy コンシューマーは、インバウンドの Iggy メッセージのユーザーヘッダーを、HeaderFilterStrategy を適用せずに Camel Exchange ヘッダーマップにマッピングしていました（IggyFetchRecords はメッセージのユーザーヘッダーをそのまま Exchange にコピーしていました）。Camel ヘッダーの名前空間をブロックするものがなかったため、消費対象の Iggy ストリーム/トピックに公開（パブリッシュ）できるアクターは、メッセージのユーザーヘッダーとして指定するだけで、CamelHttpUri（Exchange.HTTP_URI）を含む Camel 内部の制御ヘッダーを設定できました。Iggy コンシューマーが下流の HTTP プロデューサーにフィードするルートでは、注入された CamelHttpUri により、サーバーサイドの HTTP リクエストが攻撃者が選択した宛先（サーバーサイドリクエストフォージェリ、例えば内部サービスやクラウドメタデータエンドポイント）にリダイレクトされます。さらに、HTTP プロデューサーは、結果として得られる（攻撃者が制御する）URI に対して Camel プロパティのプレースホルダーを解決するため、注入された値に埋め込まれたプレースホルダー（環境変数参照、アプリケーションプロパティ、または vault 参照など）は実際の値に解決され、攻撃者に送信され、環境変数、アプリケーションプロパティ、および vault のシークレットが開示されます。この問題は Apache Camel に影響します：4.17.0 から 4.18.3 より前、4.19.0 から 4.21.0 より前。ユーザーは、この問題を修正するバージョン 4.21.0 にアップグレードすることを推奨されます。4.18.x リリースストリームを使用しているユーザーは、4.18.3 にアップグレードすることを推奨します。この修正では、インバウンドマッピング時に Camel ヘッダーの名前空間を大文字小文字を区別せずにフィルタリングする専用の IggyHeaderFilterStrategy（および headerFilterStrategy エンドポイントオプション）が追加され、外部から提供される Camel* / camel* ヘッダーが Exchange にコピーされなくなります。直ちにアップグレードできないデプロイメントでは、インバウンドメッセージから Camel 制御ヘッダーを、下流のプロデューサーに到達する前に除去し（例えばルートの先頭で removeHeaders('Camel*') および removeHeaders('camel*') を使用）、消費対象の Iggy ストリーム/トピックに公開できるユーザーを制限し、信頼できないコンシューマーを、ターゲット URI がメッセージヘッダーから操作される可能性のある HTTP プロデューサーに直接ブリッジしないようにしてください。

• CVE-2026-55994PoC

  CVE-2026-55994（Apache Camel camel-iggy）のPoC再現コード：コンシューマーがIggyメッセージのユーザーヘッダーをフィルタリングせずにExchangeへコピーするため、注入されたCamelHttpUriがサーバーサイドリクエスト（SSRF）を引き起こし、解決済みのプロパティプレースホルダーが漏洩します。4.18.3/4.21.0で修正済み。