CVE-2026-55994

요약

부적절한 입력 검증, 권한 없는 행위자에 대한 민감 정보 노출, Apache Camel의 Iggy 컴포넌트에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. camel-iggy 컨슈머는 인바운드 Iggy 메시지의 사용자 헤더를 HeaderFilterStrategy를 적용하지 않고 Camel Exchange 헤더 맵으로 매핑했습니다(IggyFetchRecords는 메시지 사용자 헤더를 Exchange로 직접 복사했습니다). Camel 헤더 네임스페이스를 차단하는 항목이 없었기 때문에, 소비되는 Iggy 스트림/토픽에 게시할 수 있는 행위자는 메시지 사용자 헤더로 제공하기만 하면 CamelHttpUri(Exchange.HTTP_URI)를 포함한 Camel 내부 제어 헤더를 설정할 수 있었습니다. Iggy 컨슈머가 다운스트림 HTTP 프로듀서에 공급하는 라우트에서, 주입된 CamelHttpUri는 서버 측 HTTP 요청을 공격자가 선택한 대상(서버 측 요청 위조 - 예: 내부 서비스 또는 클라우드 메타데이터 엔드포인트)으로 리디렉션합니다. 또한 HTTP 프로듀서는 결과(공격자 제어) URI에서 Camel 속성 플레이스홀더를 해석하므로, 주입된 값에 포함된 플레이스홀더(예: 환경 변수 참조, 애플리케이션 속성 또는 볼트 참조)는 실제 값으로 해석되어 공격자에게 전송되며, 환경 변수, 애플리케이션 속성 및 볼트 비밀을 노출합니다. 이 문제는 Apache Camel 4.17.0 이상 4.18.3 미만, 4.19.0 이상 4.21.0 미만 버전에 영향을 미칩니다. 사용자는 이 문제를 해결한 4.21.0 버전으로 업그레이드하는 것이 좋습니다. 4.18.x 릴리스 스트림을 사용 중인 경우 4.18.3으로 업그레이드하는 것이 좋습니다. 이 수정은 인바운드 매핑 시 Camel 헤더 네임스페이스를 대소문자 구분 없이 필터링하는 전용 IggyHeaderFilterStrategy(및 headerFilterStrategy 엔드포인트 옵션)를 추가하여, 외부에서 제공된 Camel* / camel* 헤더가 더 이상 Exchange로 복사되지 않도록 합니다. 즉시 업그레이드할 수 없는 배포의 경우, 인바운드 메시지가 다운스트림 프로듀서에 도달하기 전에 Camel 제어 헤더를 제거하고(예: 라우트 시작 부분에서 removeHeaders('Camel*') 및 removeHeaders('camel*') 사용), 소비되는 Iggy 스트림/토픽에 게시할 수 있는 대상을 제한하며, 대상 URI가 메시지 헤더에서 제어될 수 있는 HTTP 프로듀서에 신뢰할 수 없는 컨슈머를 직접 연결하지 않도록 하십시오.

• CVE-2026-55994PoC

  CVE-2026-55994(Apache Camel camel-iggy)용 PoC 재현 코드: consumer가 Iggy 메시지의 사용자 헤더를 필터링 없이 Exchange에 복사하므로, 주입된 CamelHttpUri가 서버 측 요청(SSRF)을 유발하고 해석된 property placeholder를 유출한다. 4.18.3/4.21.0에서 수정됨.