CVE-2026-85313

概要

Apache Camel Jettyコンポーネントにおける信頼できないドメインを伴う許容的なクロスドメインポリシーに関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。JettyエンドポイントでenableCORSを設定すると、JettyのCrossOriginFilterが標準のデフォルト設定でインストールされ、すべてのオリジンを受け入れ、認証情報を許可していました。したがって、CORSを要求した運用者は、オプションを有効にすることが、記入すべき空のポリシーではなく全許可ポリシーを選択したという表示なしに、任意のオリジンのページがそのエンドポイントへ認証情報付きのクロスオリジンリクエストを行い、レスポンスを読み取ることを可能にするポリシーを取得していました。これは、別のコンポーネントにおいて同時に公開されたplatform-http-vertxのアドバイザリと同じ欠陥クラスです。この問題を修正するApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードする必要があります。enableCORSは、運用者が指定していないオリジンに認証情報を付与しなくなりました。任意のオリジンが受け入れられることに依存していたデプロイメントは、今後オリジンを明示的に列挙する必要があります。直ちにアップグレードできないデプロイメントでは、enableCORSがインストールする内容に依存するのではなく、許可するオリジンを指定してCrossOriginFilterのパラメータを明示的に設定してください。

ソース

• CVE-2026-85313PoC

  CVE-2026-85313を再現する実行可能なSpring Bootの概念実証。Apache Camel camel-jettyのenableCORSが任意のオリジンを認証情報付きで反映する問題に加え、修正版のコントロールを含む。