CVE-2026-85313

요약

Apache Camel Jetty 구성 요소의 신뢰할 수 없는 도메인을 사용한 허용적 교차 도메인 정책(Permissive Cross-domain Policy with Untrusted Domains) 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. Jetty 엔드포인트에서 enableCORS를 설정하면 Jetty의 CrossOriginFilter가 기본 설정으로 설치되는데, 이 기본 설정은 모든 오리진을 허용하고 자격 증명(credentials)을 허용합니다. 따라서 CORS를 요청한 운영자는 어떤 오리진의 페이지든 자격 증명을 포함한 교차 오리진 요청을 엔드포인트로 보내고 응답을 읽을 수 있는 정책을 얻게 되며, 해당 옵션을 켠 것이 채워 넣어야 할 빈 정책이 아니라 모두 허용 정책을 선택한 것이라는 아무런 표시도 받지 못합니다. 이는 함께 발표된 platform-http-vertx 권고와 동일한 결함 유형으로, 구성 요소만 다릅니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. enableCORS는 더 이상 운영자가 명시하지 않은 오리진에 자격 증명을 부여하지 않습니다. 모든 오리진이 허용되는 것에 의존하던 배포는 이제 오리진을 명시적으로 나열해야 합니다. 즉시 업그레이드할 수 없는 배포의 경우, enableCORS가 설치하는 설정에 의존하지 말고 허용할 오리진을 명시하여 CrossOriginFilter 매개변수를 직접 구성하십시오.

소스

• CVE-2026-85313PoC

  CVE-2026-85313을 재현하는 실행 가능한 Spring Boot 개념 증명으로, Apache Camel camel-jetty의 enableCORS가 자격 증명과 함께 모든 origin을 반사하는 문제와 수정된 버전의 대조군을 포함합니다.