CVE-2025-29891

Резюме

Bypass/Injection уязвимость в Apache Camel. Данная проблема затрагивает Apache Camel: с 4.10.0 до 4.10.2, с 4.8.0 до 4.8.5, с 3.10.0 до 3.22.4. Пользователям рекомендуется обновиться до версии 4.10.2 для 4.10.x LTS, 4.8.5 для 4.8.x LTS и 3.22.4 для выпусков 3.x. Эта уязвимость присутствует в стандартном фильтре входящих заголовков Camel, который позволяет атакующему включать специфические для Camel заголовки, которые для некоторых компонентов Camel могут изменять поведение, например, компонента camel-bean или компонента camel-exec. Если у вас есть приложения Camel, напрямую подключенные к интернету через HTTP, то атакующий может включить параметры в HTTP-запросы, отправляемые в приложение Camel, которые преобразуются в заголовки. Заголовки могут быть предоставлены как параметры запроса при вызове HTTP-метода или как часть полезной нагрузки вызова HTTP-метода. Все известные HTTP-компоненты Camel, такие как camel-servlet, camel-jetty, camel-undertow, camel-platform-http и camel-netty-http, будут уязвимы «из коробки». Этот CVE связан с CVE-2025-27636: хотя они имеют одну и ту же первопричину и устраняются одним и тем же исправлением, считалось, что CVE-2025-27636 может быть использован только в том случае, если атакующий может добавить вредоносные HTTP-заголовки, однако теперь мы определили, что он также может быть использован через HTTP-параметры. Как и в случае с CVE-2025-27636, эксплуатация возможна только в том случае, если маршрут Camel использует определенные уязвимые компоненты.

• CVE-2025-27636-Apache-Camel-PoCPoC

  Доказательство концепции, демонстрирующее удалённое выполнение кода в Apache Camel путём обхода фильтрации заголовков и параметров (CVE-2025-27636, CVE-2025-29891) через компонент Exec.