CVE-2026-80343

概要

Apache Camel Netty HTTPコンポーネントにおける大文字と小文字の区別の不適切な処理に関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。camel-netty-httpのセキュリティ制約は、リクエストパスを設定済みのコンテキストパスと大文字と小文字を区別して照合していましたが、リクエストをエンドポイントにディスパッチするルーティングは同じルールを適用していませんでした。そのため、設定値と大文字と小文字が異なるあらゆるパスにおいて、2つの照合結果が一致しませんでした。外部の呼び出し元がパスセグメント内の文字の大文字と小文字を変更することで、セキュリティ制約がそのパスを保護対象として認識しなくなる一方、リクエストは依然として同じエンドポイントにディスパッチされていました。その結果、制約がスキップされ、保護されたルートが制約を満たすことなく到達されてしまいます。コンシューマーにリクエストを送信できること以外に、資格情報、事前のアクセス権、特別な設定は必要ありません。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードする必要があります。制約はディスパッチが使用するのと同じ大文字と小文字のルールでリクエストパスを照合するようになったため、両者が一致しなくなることはありません。すぐにアップグレードできないデプロイメントでは、Camelコンシューマーの手前に認可の判断を配置してください。例えば、転送前にリクエストパスを正規化するリバースプロキシなどです。

ソース

• CVE-2026-80343PoC

  CVE-2026-80343（camel-netty-http のセキュリティ制約における大文字小文字の区別バイパス）の実行可能な概念実証。Spring Boot と Quarkus の再現環境、および修正の検証を含む。