CVE-2026-85312

Резюме

Уязвимость неправильной проверки входных данных в компоненте Apache Camel Core. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Процессор saga обращался к заголовку с именем Long-Running-Action, чтобы определить, к какой саге относится обмен. Имя не имеет префикса Camel, поэтому оно находится вне пространства имён, которое блокируют фильтры заголовков потребителей, и внешний отправитель мог указать его во входящем сообщении. Это позволяло отправителю назвать сагу, к которой присоединяется обмен, привязывая свой запрос к длительно выполняемому действию, запущенному кем-то другим, или вызывая компенсацию, связанную с действием, которое они не инициировали. Заголовок используется только сервисом saga, который его применяет, что ограничивает подверженность развёртываниями, запускающими саги через координатор LRA. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь заголовок используется только для сервиса saga, который действительно его применяет, а не при каждом обмене. Для развёртываний, которые не могут обновиться немедленно, удаляйте заголовок на границе доверия с помощью removeHeaders("Long-Running-Action") у каждого потребителя, принимающего сообщения от недоверенного отправителя.

Источники

• CVE-2026-85312PoC

  Рабочий воспроизводитель proof-of-concept для CVE-2026-85312, демонстрирующий перехват саги Apache Camel через заголовок Long-Running-Action в Spring Boot и Quarkus.