CVE-2026-84176

概要

Apache Camel Platform HTTP Vertxコンポーネントにおける、信頼できないドメインを伴う許容的なクロスドメインポリシーに関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。createCorsHandler()は、オリジンチェックの外側でAccess-Control-Allow-Credentials: trueを設定していたため、Originヘッダーを持つリクエストへのすべてのレスポンスでこのヘッダーが送信され、ハンドラーがまさに許可しないと判断した直後のオリジンへのレスポンスも含まれていました。camel.server.cors.originsが未設定の場合、ハンドラーはすべてのオリジンを許可済みとして扱い、呼び出し元自身のOriginをそのままAccess-Control-Allow-Originとして返します。これらが組み合わさることで、fetch仕様がリテラルのワイルドカードとして表現することを拒否する、資格情報付きの任意オリジン設定が生じます。まさにこれが、オリジンを反映することがそのルールを回避する通常の手段である理由です。したがって、任意のオリジン上のページがCamelエンドポイントに対して資格情報付きのクロスオリジンリクエストを行い、レスポンスを読み取ることが可能でした。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。Access-Control-Allow-Credentialsは、リクエストのオリジンが運用者が実際に設定したオリジンと一致した場合にのみ送信されるようになりました。オリジンリストがない場合、従来どおりオリジンは反映されますが、資格情報は付与されず、またオリジンが反映される際には常にVary: Originが設定されるようになったため、共有キャッシュがあるオリジンのレスポンスを別のオリジンに提供することはできません。すぐにアップグレードできないデプロイメントでは、camel.server.cors.originsを未設定のままにせず、アクセスを必要とするオリジンの明示的なリストを設定してください。

ソース

• CVE-2026-84176PoC

  CVE-2026-84176（Apache Camel camel-platform-http-vertx における CORS 認証情報付き任意オリジン脆弱性）を再現する実行可能な Spring Boot の概念実証と、検証手順。