CVE-2026-49097

Resumo

Validação de Entrada Incorreta, Vulnerabilidade de Neutralização Incorreta de Elementos Especiais em Saída Usada por um Componente a Jusante ('Injeção') no componente IRC do Apache Camel. O produtor camel-irc escolhe o destino de uma mensagem IRC de saída a partir do cabeçalho Exchange irc.sendTo (a constante IrcConstants.IRC_SEND_TO, valor irc.sendTo); quando esse cabeçalho está presente, ele substitui a lista de canais configurada no endpoint, e a mensagem é enviada apenas para o destino especificado. Este e os outros cabeçalhos de controle do componente (irc.target, irc.messageType, irc.user.*, irc.num, irc.value) usavam valores simples, sem prefixo Camel. Como esses nomes não começam com o prefixo Camel / camel, o HttpHeaderFilterStrategy — que bloqueia apenas o namespace de cabeçalhos Camel no limite HTTP — permitia que eles passassem de uma solicitação HTTP de entrada diretamente para o Exchange. Em uma rota que faz a ponte entre um consumidor HTTP (por exemplo, platform-http) e um produtor irc:, qualquer cliente HTTP poderia, portanto, definir o cabeçalho irc.sendTo e redirecionar uma mensagem que a rota destinava a um canal configurado para um canal ou usuário IRC arbitrário — exfiltrando o conteúdo da mensagem para um apelido escolhido pelo atacante, vazando-o para um canal público ou entregando mensagens que parecem vir do bot. Nenhuma credencial é necessária quando o consumidor de ponte não é autenticado. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.14.8, de 4.15.0 antes de 4.18.3, de 4.19.0 antes de 4.21.0. Recomenda-se que os usuários atualizem para a versão 4.21.0, que corrige o problema. Se os usuários estiverem no fluxo de versões LTS 4.14.x, sugere-se que atualizem para 4.14.8. Se os usuários estiverem no fluxo de versões 4.18.x, sugere-se que atualizem para 4.18.3. Após a atualização, as rotas que definem cabeçalhos IRC por meio dos nomes de cabeçalho brutos devem usar os nomes CamelIrc* (por exemplo, CamelIrcSendTo) em vez dos antigos valores irc.*. Para implantações que não podem atualizar imediatamente, remova os cabeçalhos irc.* de qualquer entrada não confiável antes do produtor irc: (por exemplo, removeHeaders('irc.*') no início da rota) e defina o destino IRC a partir de uma fonte confiável.

Fontes

• CVE-2026-49097