CVE-2026-85312

概要

Apache Camel Coreコンポーネントにおける不適切な入力検証の脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。sagaプロセッサは、Long-Running-Actionという名前のヘッダーを参照して、あるexchangeがどのsagaに属するかを判断していました。この名前にはCamelのプレフィックスが付いていないため、コンシューマーのヘッダーフィルターがブロックする名前空間の外に位置しており、外部の送信者が受信メッセージにこのヘッダーを付与できました。これにより、送信者はexchangeが参加するsagaを指定でき、自身のリクエストを他者が開始した長時間実行アクションに紐付けたり、自身が開始していないアクションに補償処理を関連付けさせたりすることが可能でした。このヘッダーは、それを利用するsagaサービスによってのみ参照されるため、影響範囲はLRAコーディネーター上でsagaを実行しているデプロイメントに限定されます。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。このヘッダーは、すべてのexchangeではなく、実際にそれを利用するsagaサービスに対してのみ参照されるようになりました。直ちにアップグレードできないデプロイメントでは、信頼できない送信者からのメッセージを受け付けるすべてのコンシューマーにおいて、信頼境界でremoveHeaders("Long-Running-Action")を使用してこのヘッダーを除去してください。

ソース

• CVE-2026-85312PoC

  CVE-2026-85312 の実行可能な概念実証リプロデューサー。Spring Boot および Quarkus における Long-Running-Action ヘッダーを介した Apache Camel サガハイジャックを実証します。