CVE-2026-84176

요약

Apache Camel Platform HTTP Vertx 구성 요소의 신뢰할 수 없는 도메인을 사용한 허용적 교차 도메인 정책 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. createCorsHandler()가 출처 검사 범위 밖에서 Access-Control-Allow-Credentials: true를 설정하여, Origin 헤더를 포함한 요청에 대한 모든 응답에 이 헤더가 전송되었으며, 여기에는 핸들러가 방금 허용하지 않기로 결정한 출처에 대한 응답도 포함되었습니다. camel.server.cors.origins가 설정되지 않은 경우, 핸들러는 모든 출처를 허용된 것으로 처리하고 호출자의 Origin을 그대로 Access-Control-Allow-Origin으로 반사합니다. 이 두 가지가 결합되면 fetch 명세가 리터럴 와일드카드로 표현하기를 거부하는 자격 증명이 포함된 모든 출처 허용 구성이 생성되며, 바로 이것이 출처를 반사하는 방식이 해당 규칙을 우회하는 일반적인 방법인 이유입니다. 따라서 모든 출처의 페이지가 Camel 엔드포인트에 자격 증명이 포함된 교차 출처 요청을 보내고 응답을 읽을 수 있었습니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 Access-Control-Allow-Credentials는 요청 출처가 운영자가 실제로 구성한 출처와 일치한 경우에만 전송됩니다. 출처 목록이 없는 경우 출처는 이전과 마찬가지로 여전히 반사되지만 자격 증명은 부여되지 않으며, 출처가 반사될 때마다 Vary: Origin이 설정되어 공유 캐시가 한 출처의 응답을 다른 출처에 제공할 수 없도록 합니다. 즉시 업그레이드할 수 없는 배포의 경우 camel.server.cors.origins를 설정하지 않은 채로 두지 말고 액세스가 필요한 출처의 명시적 목록으로 설정하십시오.

소스

• CVE-2026-84176PoC

  Apache Camel camel-platform-http-vertx의 CORS 자격 증명 임의 출처 허용 취약점인 CVE-2026-84176을 재현하는 실행 가능한 Spring Boot 개념 증명으로, 검증 단계를 포함합니다.