Apache Camel Iggy: входящий потребитель сопоставляет внешние пользовательские заголовки сообщений Iggy с Exchange без HeaderFilterStrategy, что позволяет внедрять управляющие заголовки Camel — обеспечивая контроль над внутренним поведением
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NНизкий · следующие 30 дней
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Некорректная проверка входных данных, раскрытие конфиденциальной информации неавторизованному субъекту, уязвимость подделки серверных запросов (SSRF) в компоненте Iggy Apache Camel. Потребитель camel-iggy сопоставлял пользовательские заголовки входящих сообщений Iggy с картой заголовков Camel Exchange без применения какого-либо HeaderFilterStrategy (IggyFetchRecords копировал пользовательские заголовки сообщения напрямую в Exchange). Поскольку пространство имён заголовков Camel ничем не блокировалось, субъект, способный публиковать сообщения в потребляемый поток/топик Iggy, мог задавать внутренние управляющие заголовки Camel — включая CamelHttpUri (Exchange.HTTP_URI) — просто указав их в качестве пользовательских заголовков сообщения. В маршруте, где потребитель Iggy передаёт данные нижестоящему HTTP-производителю, внедрённый CamelHttpUri перенаправляет серверный HTTP-запрос на выбранный атакующим адрес (подделка серверных запросов — например, на внутренний сервис или endpoint метаданных облака). Кроме того, HTTP-производитель разрешает плейсхолдеры свойств Camel в итоговом (контролируемом атакующим) URI, поэтому плейсхолдеры, встроенные во внедрённое значение — например, ссылка на переменную окружения, свойство приложения или ссылка на хранилище секретов — разрешаются в свои реальные значения и отправляются атакующему, раскрывая переменные окружения, свойства приложений и секреты из хранилища. Эта проблема затрагивает Apache Camel: с 4.17.0 до 4.18.3, с 4.19.0 до 4.21.0. Пользователям рекомендуется обновиться до версии 4.21.0, которая устраняет проблему. Если пользователи находятся на ветке релизов 4.18.x, им рекомендуется обновиться до 4.18.3. Исправление добавляет выделенный IggyHeaderFilterStrategy (и опцию endpoint headerFilterStrategy), который фильтрует пространство имён заголовков Camel без учёта регистра при сопоставлении входящих данных, поэтому внешние заголовки Camel* / camel* больше не копируются в Exchange. Для развёртываний, которые не могут обновиться немедленно, удалите управляющие заголовки Camel из входящего сообщения до того, как они достигнут любого нижестоящего производителя (например, removeHeaders('Camel*') и removeHeaders('camel*') в начале маршрута), ограничьте круг лиц, которые могут публиковать в потребляемый поток/топик Iggy, и избегайте прямого соединения непроверенного потребителя с HTTP-производителем, целевой URI которого может управляться через заголовки сообщений.
PoC-репродуктор для CVE-2026-55994 (Apache Camel camel-iggy): потребитель копирует пользовательские заголовки сообщения Iggy в Exchange без фильтрации, поэтому внедрённый CamelHttpUri инициирует серверный запрос (SSRF) и раскрывает значения разрешённых плейсхолдеров свойств. Исправлено в 4.18.3/4.21.0.
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.