CVE-2026-49098 — Updated!
PoC-репродуктор для CVE-2026-49098 (Apache Camel camel-kafka): заголовок kafka.OVERRIDE_TOPIC без префикса Camel обходит вышестоящий фильтр HTTP-заголовков и переопределяет настроенный топик продюсера, внедряя подделанную злоумышленником запись в привилегированный Kafka-топик (межтопиковая инъекция). Исправлено в версиях 4.14.8/4.18.3/4.21.0.
CVE-2026-49098 — инъекция заголовка kafka.OVERRIDE_TOPIC в camel-kafka
Готовые к запуску proof-of-concept воспроизведения одной и той же уязвимости Apache Camel, по одному на каждую среду выполнения:
| Среда выполнения | Каталог | Стек |
|---|---|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.2.0 + camel-spring-boot 4.18.2 |
| Camel Quarkus | camel-quarkus/ | Quarkus 3.36.0 + Camel Quarkus 3.36.0 (включает Camel 4.20.0) |
Обе версии являются затронутыми (проблема исправлена в 4.14.8 / 4.18.3 / 4.21.0), и обе демонстрируют один и тот же
дефект: KafkaProducer.evaluateTopic() считывает заголовок kafka.OVERRIDE_TOPIC без префикса Camel и предпочитает его
настроенной теме конечной точки. Он обходит фильтр HTTP-заголовков (как сервлетный platform-http в Spring Boot, так и
Vert.x platform-http в Quarkus) и перемещает создаваемое сообщение на выбранную атакующим тему — межтопиковая
инъекция (CWE-20 → CWE-74).
Каждый подкаталог представляет собой автономный проект со своим собственным Dockerfile, docker-compose.yml и README с
полными деталями и шагами воспроизведения. Вкратце, для любого из них:
cd camel-spring-boot # или: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down
Сводка по уязвимости
| Свойство | Значение |
|---|---|
| Компонент | camel-kafka (Spring Boot: camel-kafka-starter; Quarkus: camel-quarkus-kafka) |
| CWE | CWE-20 (Некорректная проверка входных данных) / CWE-74 (Инъекция) |
| Воздействие | Перенаправление / инъекция создаваемого сообщения на произвольную тему Kafka |
| Затронутые версии | С 4.0.0 до 4.14.8, с 4.15.0 до 4.18.3, с 4.19.0 до 4.21.0 |
| Исправленные версии | 4.14.8, 4.18.3, 4.21.0 |
| JIRA | CAMEL-23584 (PR apache/camel#23602) |
| Автор | Yu Bao (PayPal) |
Консультация: https://camel.apache.org/security/CVE-2026-49098.html
Отказ от ответственности
Эти воспроизведения предоставлены только для исследований в области безопасности и авторизованного тестирования, для публично раскрытой и исправленной уязвимости. Не используйте их против систем без явного разрешения.