CVE-2026-49099

Резюме

Некорректная нейтрализация специальных элементов в выходных данных, используемых нижестоящим компонентом («инъекция»), обход авторизации через управляемый пользователем ключ в компоненте Apache Camel Salesforce. Производитель camel-salesforce разрешает свои параметры операции — SOQL-запрос, SOSL-поиск, имя и идентификатор целевого SObject, URL и метод Apex REST, а также параметры запроса Apex — из заголовков сообщений Exchange, читая заголовок в приоритете над значением, настроенным на конечной точке (AbstractSalesforceProcessor.getParameter() сначала читает заголовок и использует конфигурацию конечной точки только как запасной вариант). Константы управляющих заголовков в SalesforceEndpointConfig (например, SOBJECT_QUERY = sObjectQuery, SOBJECT_SEARCH = sObjectSearch, SOBJECT_NAME = sObjectName, SOBJECT_ID = sObjectId, APEX_URL = apexUrl, APEX_METHOD = apexMethod и префикс apexQueryParam.) использовали простые значения без префикса Camel. Поскольку эти имена не начинаются с префикса Camel / camel, HttpHeaderFilterStrategy — который блокирует только пространство имён заголовков Camel на границе HTTP — пропускал их из входящего HTTP-запроса прямо в Exchange. В маршруте, который связывает HTTP-потребитель (например, platform-http) с производителем salesforce:, любой HTTP-клиент мог установить эти заголовки и переопределить то, что предполагал маршрут — подставив собственный SOQL-запрос или SOSL-поиск для чтения данных из любого SObject, доступного подключённому пользователю Salesforce, переопределив имя и идентификатор целевого SObject для операций CRUD или перенаправив вызов Apex REST на другую конечную точку и HTTP-метод (включая разрушительные методы) с внедрёнными параметрами запроса. Все такие операции выполняются с полными правами подключённого (интеграционного) пользователя Salesforce, которые обычно широки. От атакующего не требуются учётные данные, когда связующий потребитель не аутентифицирован. Эта проблема затрагивает Apache Camel: с 4.0.0 до 4.14.8, с 4.15.0 до 4.18.3, с 4.19.0 до 4.21.0. Пользователям рекомендуется обновиться до версии 4.21.0, которая устраняет проблему. Если пользователи находятся на потоке выпусков LTS 4.14.x, им рекомендуется обновиться до 4.14.8. Если пользователи находятся на потоке выпусков 4.18.x, им рекомендуется обновиться до 4.18.3. После обновления маршруты, которые задают параметры операций Salesforce через исходные имена заголовков, должны использовать имена CamelSalesforce* (например, CamelSalesforceSObjectQuery и CamelSalesforceApexUrl) вместо старых значений sObject* / apex*; написание параметров конечной точки не изменилось. Для развёртываний, которые не могут обновиться немедленно, удалите управляющие заголовки Salesforce из любого недоверенного входящего трафика перед производителем salesforce: (например, removeHeaders('sObject*') и removeHeaders('apex*') в начале маршрута) и задавайте параметры запроса, SObject и Apex из доверенного источника.