CVE-2026-80344

概要

Apache Camel AS2コンポーネントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性。この問題はApache Camelに影響します：4.0.0から4.18.5より前、4.19.0から4.22.1より前。AS2プロトコルでは、メッセージの送信者が、自身が指定したアドレスへMessage Disposition Notificationを非同期で返送するよう要求できます。camel-as2はそのアドレスを受信メッセージから取得し、デプロイメントが設定した範囲に制約することなく、送信する受領通知の宛先として使用していました。したがって、リモートのパートナーが、MDN配信時にCamelインスタンスが接続するホストを選択できました。これにより、AS2受信側の立場からのサーバーサイドリクエストフォージェリが可能となり、デプロイメントのネットワーク内部からのみルーティング可能なホストへの到達も含まれます。また、送信接続にMDN配信向けに設定された認証情報が含まれる場合、それらの認証情報が攻撃者の選択した宛先に提示されます。この問題を修正したApache Camel 4.23.0へアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5へアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1へアップグレードしてください。非同期MDNの宛先は、受信メッセージからそのまま取得されるのではなく、制約されるようになりました。直ちにアップグレードできないデプロイメントでは、AS2受信側からの送信接続を、正当に受領通知を配信するパートナーのエンドポイントに制限し、それらのパートナー以外のホストに対して有効な認証情報をMDN配信に付与しないでください。

ソース

• CVE-2026-80344PoC

  Apache Camel camel-as2 における CVE-2026-80344 の実行可能な概念実証（PoC）再現ツール。非同期 MDN SSRF と認証情報の漏洩を、脆弱なビルドと修正済みビルドを用いて実証します。