CVE-2026-85316
중간게시됨
Apache Camel: Camel-Platform-HTTP의 접두사 경로 매칭으로 인한 의도치 않은 프록시 모드
- 게시됨
- 2026. 10. 19.
- 업데이트됨
- 2026. 10. 19.
- CNA 할당 중
- apache
- 증거 관찰됨
- 2026. 10. 21.
기본 CVSS
4.8/ 10중간
Apache Camel: Camel-Platform-HTTP의 접두사 경로 매칭으로 인한 의도치 않은 프록시 모드
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N낮음 · 다음 30일
EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.
Apache Camel Platform HTTP 컴포넌트의 접근 제어 세분성 부족(Insufficient Granularity of Access Control) 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. 이 컴포넌트는 엔드포인트가 프록시 모드로 실행되는지를 구성된 경로가 정확히 일치하는지가 아니라 경로가 문자열 proxy로 시작하는지를 검사하여 판단했습니다. 따라서 경로가 단순히 해당 문자로 시작하기만 하는 모든 엔드포인트(proxyStatus, proxy-config, proxying 등)는 라우트 작성자가 의도하지 않았음에도 프록시 엔드포인트가 되었습니다. 프록시 엔드포인트는 요청을 다음으로 전달하므로, 자체 콘텐츠를 제공하도록 의도된 엔드포인트가 대신 자신을 호출하는 측을 대신하여 트래픽을 중계하게 되며, 이는 요청 위조의 기반이자 포워딩 경로가 도달할 수 있는 모든 것의 노출입니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 프록시 모드는 접두사가 아닌 정확한 경로 일치로 선택됩니다. 즉시 업그레이드할 수 없는 배포의 경우, proxy로 시작하지만 프록시로 의도되지 않은 모든 엔드포인트 경로의 이름을 변경하십시오.
CVE-2026-85316에 대한 실행 가능한 개념 증명 재현기로, Apache Camel camel-platform-http 경로 접두사 매칭에서 의도치 않은 프록시 모드를 고정 버전 대조군과 함께 시연합니다.
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.