CVE-2026-80344

Resumo

Vulnerabilidade de Server-Side Request Forgery (SSRF) no componente AS2 do Apache Camel. Este problema afeta o Apache Camel: de 4.0.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. No protocolo AS2, o remetente de uma mensagem pode solicitar que a Message Disposition Notification seja retornada de forma assíncrona para um endereço fornecido pelo remetente. O camel-as2 obtinha esse endereço a partir da mensagem recebida e o utilizava como destino do recibo de saída sem restringi-lo a nada que a implantação tivesse configurado. Um parceiro remoto, portanto, escolhia o host ao qual a instância do Camel se conectaria ao entregar o MDN. Isso possibilita server-side request forgery a partir da posição do receptor AS2, incluindo o alcance de hosts que só são roteáveis de dentro da rede da implantação e, quando a conexão de saída carrega credenciais configuradas para entrega de MDN, essas credenciais são apresentadas ao destino escolhido pelo atacante. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. O destino assíncrono do MDN agora é restringido em vez de ser obtido literalmente da mensagem recebida. Para implantações que não podem atualizar imediatamente, restrinja a conectividade de saída do receptor AS2 aos endpoints de parceiros para os quais ele entrega recibos legitimamente, e não anexe à entrega de MDN credenciais válidas para qualquer host que não sejam esses parceiros.

Fontes

• CVE-2026-80344PoC

  Reprodutor de prova de conceito executável para CVE-2026-80344 no camel-as2 do Apache Camel, demonstrando SSRF assíncrono via MDN e divulgação de credenciais com builds afetados e corrigidos.