CVE-2026-85249

Резюме

Уязвимость неправильной проверки входных данных в компоненте Apache Camel Tika. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Tika producer сопоставлял каждый ключ метаданных, извлечённый из отправленного документа, с Exchange в качестве заголовка без применения фильтрации. Метаданные документа — это контролируемое злоумышленником содержимое: сторона, предоставляющая файл, выбирает, какие ключи метаданных он содержит. Таким образом, специально сформированный документ мог устанавливать заголовки Exchange, от которых зависит остальная часть маршрута, включая заголовки в пространстве имён Camel, такие как CamelFileName, которые нижестоящие компоненты используют для определения места записи содержимого. Это тот же класс внедрения заголовков, что и в ранее опубликованных рекомендациях по consumer, но здесь он достигается через разобранное содержимое файла, а не через заголовок протокола. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Разобранные метаданные документа теперь фильтруются через HeaderFilterStrategy перед сопоставлением с Exchange. Маршрут, который читал производный от метаданных заголовок, теперь блокируемый фильтром, обнаружит его отсутствие. Для развёртываний, которые не могут обновиться немедленно, удалите пространство имён Camel после Tika producer с помощью removeHeaders("Camel*") перед любым компонентом, который действует на основе этих заголовков.

Источники

• CVE-2026-85249PoC

  Работающий репродуктор на Spring Boot и Quarkus для CVE-2026-85249, демонстрирующий внедрение заголовка метаданных camel-tika в CamelFileName с уязвимым и исправленным вариантами.