CVE-2025-27636

Resumo

Vulnerabilidade de bypass/injeção em componentes do Apache Camel sob condições específicas. Este problema afeta o Apache Camel: de 4.10.0 até <= 4.10.1, de 4.8.0 até <= 4.8.4, de 3.10.0 até <= 3.22.3. Recomenda-se que os usuários atualizem para a versão 4.10.2 para 4.10.x LTS, 4.8.5 para 4.8.x LTS e 3.22.4 para as versões 3.x. Esta vulnerabilidade está presente no filtro padrão de cabeçalhos de entrada do Camel, que permite que um atacante inclua cabeçalhos específicos do Camel que, para alguns componentes do Camel, podem alterar os comportamentos, como o componente camel-bean, para chamar outro método no bean, em vez do que foi codificado na aplicação. No componente camel-jms, um cabeçalho malicioso pode ser usado para enviar a mensagem para outra fila (no mesmo broker) em vez da que foi codificada na aplicação. Isso também pode ser observado ao usar o componente camel-exec. O atacante precisaria injetar cabeçalhos personalizados, como protocolos HTTP. Portanto, se você tiver aplicações Camel diretamente conectadas à internet via HTTP, um atacante poderá incluir cabeçalhos HTTP maliciosos nas requisições HTTP enviadas à aplicação Camel. Todos os componentes HTTP conhecidos do Camel, como camel-servlet, camel-jetty, camel-undertow, camel-platform-http e camel-netty-http, seriam vulneráveis de fábrica. Nessas condições, um atacante poderia forjar um nome de cabeçalho Camel e fazer com que o componente bean invocasse outros métodos no mesmo bean. Em relação ao uso da estratégia padrão de filtro de cabeçalhos, a lista de componentes que a utilizam é: * camel-activemq * camel-activemq6 * camel-amqp * camel-aws2-sqs * camel-azure-servicebus * camel-cxf-rest * camel-cxf-soap * camel-http * camel-jetty * camel-jms * camel-kafka * camel-knative * camel-mail * camel-nats * camel-netty-http * camel-platform-http * camel-rest * camel-sjms * camel-spring-rabbitmq * camel-stomp * camel-tahu * camel-undertow * camel-xmpp A vulnerabilidade surge devido a um bug no mecanismo de filtragem padrão que bloqueia apenas cabeçalhos que começam com "Camel", "camel" ou "org.apache.camel.". Mitigação: você pode facilmente contornar isso em suas aplicações Camel removendo os cabeçalhos em suas rotas Camel. Há muitas maneiras de fazer isso, globalmente ou por rota. Isso significa que você pode usar o EIP removeHeaders, para filtrar qualquer coisa como "cAmel, cAMEL" etc, ou, em geral, tudo o que não começar com "Camel", "camel" ou "org.apache.camel.".

Fontes

• CVE-2025-27636-RCE-in-Apache-CamelPoC

  PoC em Python que explora o CVE-2025-27636, uma RCE por injeção de cabeçalho no Apache Camel, com suporte a execução de comandos, leitura de arquivos e payloads de reverse shell.

• CVE-2025-27636-demoPoC

  Demonstra o CVE-2025-27636 do Apache Camel com reprodução baseada em Docker de ataques de injeção de cabeçalhos, incluindo injeção de método de bean e execução de comandos para pesquisa e educação em segurança.

• CVE-2025-27636-Practical-LabPoC

  Laboratório prático para reproduzir o CVE-2025-27636, um RCE crítico no Apache Camel via bypass do filtro de cabeçalho sensível a maiúsculas/minúsculas. Demonstra injeção de cabeçalho para executar comandos arbitrários através do endpoint exec.

• CVE-2025-27636-Apache-Camel-PoCPoC

  Prova de conceito que demonstra execução remota de código no Apache Camel ao explorar bypasses de filtragem de cabeçalhos e parâmetros (CVE-2025-27636, CVE-2025-29891) por meio do componente Exec.

• CVE-2026-40453PoC

  Reprodutor para CVE-2026-40453: injeção de cabeçalho Camel case-variant no Apache Camel (correção incompleta do CVE-2025-27636)

• CVE-2026-46587PoC

  Reprodutor para CVE-2026-46587: injeção de cabeçalho CCB_* no camel-couchbase do Apache Camel permitindo divulgação de documentos, adulteração e destruição forçada de dados via TTL (corrigido em 4.14.8/4.18.3/4.21.0)