CVE-2026-85314

Резюме

Уязвимость неправильной проверки входных данных в компоненте Apache Camel Mail. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. CVE-2026-46584 устранила попадание почтовых заголовков в Exchange без прохождения через фильтр заголовков, однако формат данных MimeMultipart сохранил нефильтрованный путь: при демаршалинге многочастного сообщения заголовки mail.smtp отображались на Exchange без применения фильтра. Эти имена находятся вне пространства имён Camel, которое блокируют фильтры потребителя, поэтому сообщение, сформированное внешним отправителем, всё ещё могло задавать их, а пространство имён mail.smtp влияет на то, как нижестоящий почтовый продюсер устанавливает соединение и отправляет сообщение. Это неполное исправление CVE-2026-46584, а не новый класс дефектов: развёртывание, в котором было применено это уведомление и компонент camel-mail считался закрытым, оставалось уязвимым на этом пути. Обновитесь до Apache Camel 4.23.0, где проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Формат данных MimeMultipart теперь применяет фильтр заголовков при демаршалинге, закрывая путь, оставленный открытым в CVE-2026-46584. Для развёртываний, которые не могут обновиться немедленно, удаляйте пространство имён после формата данных с помощью removeHeaders("mail.smtp*") перед любым почтовым продюсером.

Источники

• CVE-2026-85314PoC

  Рабочий воспроизводитель proof-of-concept для CVE-2026-85314, демонстрирующий инъекцию заголовков mail.smtp в MimeMultipart из camel-mail в Camel Spring Boot и Camel Quarkus, с исправленными контрольными вариантами.