CVE-2026-49098

요약

부적절한 입력 검증, 다운스트림 구성 요소에서 사용되는 출력의 특수 요소 부적절한 중화('Injection') 취약점이 Apache Camel Kafka 구성 요소에 존재합니다. camel-kafka 프로듀서는 런타임 시 kafka.OVERRIDE_TOPIC Exchange 헤더에서 구성된 대상 토픽을 재정의할 수 있습니다. KafkaProducer.evaluateTopic()은 엔드포인트에 구성된 토픽보다 헤더 값을 우선하여 반환합니다. KafkaConstants의 제어 헤더 상수(예: OVERRIDE_TOPIC = kafka.OVERRIDE_TOPIC, OVERRIDE_TIMESTAMP = kafka.OVERRIDE_TIMESTAMP, PARTITION_KEY = kafka.PARTITION_KEY)는 일반적인 Camel 접두사가 없는 값을 사용했습니다. camel-kafka 자체의 KafkaHeaderFilterStrategy는 kafka.* 네임스페이스를 필터링하지만, Kafka-to-Exchange 직렬화 경계(즉, Kafka 레코드 헤더를 Exchange로 읽고 Exchange 헤더를 Kafka 레코드로 쓰는 경우)에서만 적용되며, 다중 구성 요소 경로에서 업스트림 컨슈머로부터 도착하는 헤더에는 적용되지 않습니다. 업스트림 HTTP 컨슈머는 HttpHeaderFilterStrategy를 사용하며, 이는 Camel/camel 네임스페이스만 차단하므로 kafka.* 헤더는 필터링 없이 통과합니다. 결과적으로 HTTP 컨슈머(예: platform-http)를 kafka: 프로듀서로 연결하는 경로에서 모든 HTTP 클라이언트가 kafka.OVERRIDE_TOPIC 헤더를 설정하여 메시지가 구성된 토픽 대신 임의의 Kafka 토픽에 게시되도록 할 수 있습니다. 즉, 민감한 내부 토픽으로 리디렉션하거나, 중요 다운스트림 서비스가 소비하는 토픽에 공격자가 조작한 메시지를 주입할 수 있습니다. 관련된 kafka.OVERRIDE_TIMESTAMP 및 kafka.PARTITION_KEY 헤더도 주입되어 메시지의 타임스탬프를 과거로 조작하거나 특정 파티션을 대상으로 지정할 수 있습니다. 브리징 컨슈머가 인증되지 않은 경우 자격 증명이 필요하지 않습니다. 이 문제는 Apache Camel 4.0.0 이상 4.14.8 미만, 4.15.0 이상 4.18.3 미만, 4.19.0 이상 4.21.0 미만 버전에 영향을 미칩니다. 사용자는 이 문제를 해결한 4.21.0 버전으로 업그레이드하는 것이 좋습니다. 4.14.x LTS 릴리스 스트림을 사용 중인 경우 4.14.8로 업그레이드하는 것이 좋습니다. 4.18.x 릴리스 스트림을 사용 중인 경우 4.18.3으로 업그레이드하는 것이 좋습니다. 업그레이드 후에는 원시 헤더 이름을 통해 Kafka 헤더를 설정하거나 읽는 경로에서 기존 kafka.* 값 대신 CamelKafka* 이름(예: CamelKafkaOverrideTopic 및 CamelKafkaTopic)을 사용해야 합니다. 즉시 업그레이드할 수 없는 배포의 경우 kafka: 프로듀서 앞의 신뢰할 수 없는 모든 수신 지점에서 kafka.* 헤더를 제거하고(예: 경로 시작 부분에서 removeHeaders('kafka.*') 사용), 대상 토픽을 신뢰할 수 있는 소스에서 설정하십시오.

• CVE-2026-49098PoC

  CVE-2026-49098(Apache Camel camel-kafka)용 PoC 재현기: Camel 접두사가 없는 `kafka.OVERRIDE_TOPIC` 헤더는 업스트림 HTTP 헤더 필터를 우회하여 프로듀서에 구성된 토픽을 재정의하고, 공격자가 위조한 레코드를 권한 있는 Kafka 토픽에 주입합니다(교차 토픽 주입). 4.14.8/4.18.3/4.21.0에서 수정되었습니다.