CVE-2026-85249

요약

Apache Camel Tika 컴포넌트의 부적절한 입력 검증 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. Tika 프로듀서는 제출된 문서에서 파싱된 모든 메타데이터 키를 필터링 없이 Exchange에 헤더로 매핑했습니다. 문서 메타데이터는 공격자가 제어하는 콘텐츠입니다. 즉, 파일을 제공하는 측이 해당 파일이 지니는 메타데이터 키를 선택합니다. 따라서 조작된 문서는 나머지 라우트가 의존하는 Exchange 헤더를 설정할 수 있었으며, 여기에는 다운스트림 컴포넌트가 콘텐츠가 기록될 위치를 결정하는 데 사용하는 CamelFileName과 같은 Camel 네임스페이스의 헤더도 포함됩니다. 이 패턴은 이전에 공개된 컨슈머 권고문과 동일한 헤더 주입 유형으로, 여기서는 프로토콜 헤더가 아닌 파싱된 파일 콘텐츠를 통해 도달합니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 파싱된 문서 메타데이터는 Exchange에 매핑되기 전에 HeaderFilterStrategy를 통해 필터링됩니다. 필터가 차단하는 메타데이터 기반 헤더를 읽던 라우트에서는 해당 헤더가 누락된 것으로 나타납니다. 즉시 업그레이드할 수 없는 배포 환경의 경우, 해당 헤더에 따라 동작하는 컴포넌트 이전에 Tika 프로듀서 뒤에서 removeHeaders("Camel*")를 사용하여 Camel 네임스페이스를 제거하십시오.

소스

• CVE-2026-85249PoC

  CVE-2026-85249에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, 취약한 버전과 수정된 버전의 대조를 통해 camel-tika 메타데이터 헤더가 CamelFileName에 주입되는 것을 보여줍니다.