CVE-2026-63621

概要

不適切な入力検証、および下流コンポーネントで使用される出力における特殊要素の不適切な無害化（'インジェクション'）の脆弱性がApache CamelのKnativeコンポーネントに存在します。camel-knativeのKnativeコンシューマーは、受信したCloudEvent属性をCamelメッセージヘッダーにマッピングします。バイナリコンテンツモードでは、HTTPヘッダーパスはKnativeHttpHeaderFilterStrategyを通じてCamel内部ヘッダーをフィルタリングしますが、構造化コンテンツモード（Content-Type application/cloudevents+json）では、CloudEvent拡張フィールドがJSONボディから直接読み取られ、すべての拡張キーがHeaderFilterStrategyを適用せずにExchangeヘッダーにコピーされます（CloudEventProcessors、仕様バージョン1.0、1.0.1、1.0.2）。この結果、認証されていない攻撃者が、構造化モードのCloudEventリクエストを介してCamel内部ヘッダー（例：CamelHttpUri、CamelHttpPath、CamelFileName）を注入でき、Camelのヘッダーマップに対して大文字小文字を区別せずに照合されます。ルートがKnativeコンシューマーからcamel-httpやcamel-fileなどのヘッダー駆動型コンポーネントにメッセージを転送する場合、注入されたヘッダーは設定値を上書きし、ルートに応じてサーバーサイドリクエストフォージェリ（SSRF）、パストラバーサル、またはメッセージディスパッチのリダイレクトを可能にします。これは、以前にバイナリコンテンツモードパスに対して追加されたインバウンドヘッダーフィルタリングの不完全な修正であり、camel-cxf/camel-knative（CVE-2026-47323）、camel-undertow（CVE-2025-30177）、より広範なインバウンドヘッダーフィルター（CVE-2025-27636およびCVE-2025-29891）、および非HTTPストラテジー（CVE-2026-40453）で対処されたものと同じパターンです。この問題はApache Camelに影響します：3.15.0から4.14.9未満、4.15.0から4.18.4未満、4.19.0から4.21.0未満。ユーザーは、この問題を修正したバージョン4.22.0にアップグレードすることを推奨されます。4.18.x LTSリリースストリームを使用している場合、4.18.4にアップグレードすることが推奨されます。4.14.x LTSリリースストリームを使用している場合、4.14.9にアップグレードすることが推奨されます。非LTSリリースの4.15.0から4.17.0および4.19.0から4.21.0は影響を受けますが、メンテナンス修正は提供されません。これらのバージョンのユーザーは4.18.4または4.22.0にアップグレードする必要があります。

• CVE-2026-63621PoC

  Apache Camelのcamel-knative構造化CloudEventヘッダーインジェクション（CVE-2026-63621）の概念実証（PoC）リプロデューサー。Spring BootおよびQuarkusランタイムにおける悪意のある拡張フィールドを介したヘッダーインジェクションを実証します。