CVE-2026-85249

Resumo

Vulnerabilidade de Validação de Entrada Imprópria no componente Apache Camel Tika. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. O produtor Tika mapeava cada chave de metadados extraída do documento submetido para o Exchange como um cabeçalho, sem aplicar nenhum filtro. Os metadados do documento são conteúdo controlado pelo atacante: a parte que fornece o arquivo escolhe as chaves de metadados que ele carrega. Um documento especialmente construído poderia, portanto, definir cabeçalhos do Exchange dos quais o restante da rota depende, incluindo cabeçalhos no namespace do Camel, como CamelFileName, que os componentes downstream usam para decidir onde o conteúdo é gravado. O padrão é a mesma classe de injeção de cabeçalhos dos avisos de consumidor publicados anteriormente, alcançada aqui por meio do conteúdo do arquivo analisado, e não por meio de um cabeçalho de protocolo. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários no fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários no fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Os metadados do documento analisado agora são filtrados por meio de um HeaderFilterStrategy antes de serem mapeados para o Exchange. Uma rota que estava lendo um cabeçalho derivado de metadados que o filtro agora bloqueia o verá ausente. Para implantações que não podem atualizar imediatamente, remova o namespace do Camel após o produtor Tika com removeHeaders("Camel*") antes de qualquer componente que atue sobre esses cabeçalhos.

Fontes

• CVE-2026-85249PoC

  Reprodutor executável em Spring Boot e Quarkus para a CVE-2026-85249, demonstrando a injeção de cabeçalho de metadados do camel-tika no CamelFileName com controles afetados e corrigidos.