CVE-2026-85316
Apache Camel: непреднамеренный режим прокси в Camel-Platform-HTTP через сопоставление по префиксу пути
- Опубликовано
- 19 окт. 2026 г.
- Обновлено
- 19 окт. 2026 г.
- Назначение CNA
- apache
- Наблюдены доказательства
- 21 окт. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:NНизкий · следующие 30 дней
- Процентиль
- 16,0 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Уязвимость недостаточной гранулярности контроля доступа в HTTP-компоненте Apache Camel Platform. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Компонент определял, работает ли эндпоинт в режиме прокси, проверяя, начинается ли его настроенный путь со строки proxy, а не сравнивая путь точно. Любой эндпоинт, путь которого лишь начинается с этих символов — proxyStatus, proxy-config, proxying и так далее — таким образом становился прокси-эндпоинтом без ведома автора маршрута. Прокси-эндпоинт перенаправляет запросы дальше, поэтому эндпоинт, предназначенный для обслуживания собственного содержимого, вместо этого ретранслирует трафик от имени того, кто к нему обращается, что является одновременно примитивом подделки запросов и раскрытием всего, до чего может добраться путь перенаправления. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь режим прокси выбирается по точному совпадению пути, а не по префиксу. Для развёртываний, которые не могут обновиться немедленно, переименуйте любой путь эндпоинта, который начинается с proxy, но не должен быть прокси.
Источники
Рабочий воспроизводитель proof-of-concept для CVE-2026-85316, демонстрирующий непредусмотренный режим прокси при сопоставлении префиксов путей в Apache Camel camel-platform-http, с контролями на исправленных версиях.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.