Обе версии затронуты уязвимостью (исправлено в 4.14.8 / 4.18.3 / 4.21.0), и обе демонстрируют один и тот же дефект: Sqs2HeaderFilterStrategy настраивает только исходящий фильтр, поэтому Sqs2Consumer сопоставляет каждый входящий атрибут сообщения SQS с Exchange — включая управляющие заголовки Camel. Автор маршрута никогда не предоставлял способа изменить целевой downstream-компонент, но злоумышленник, способный поставить сообщение в очередь, внедряет такой заголовок и управляет downstream-производителем (CWE-20).

Почему два варианта перехватывают разные приёмники

Вариант на Spring Boot доказывает RCE через приёмник exec:. Этот приёмник недоступен по умолчанию в Camel 4.20.0 (который включает Camel Quarkus 3.36.0): CAMEL-23315 добавил опцию allowControlHeaders в camel-exec, по умолчанию равную false, впервые выпущенную в 4.20.0. Это ужесточение не зависит от данного CVE и не исправляет его — внедрённые атрибуты сообщений по-прежнему становятся заголовками Exchange в 4.20.0. Поэтому вариант на Quarkus перехватывает производитель http через CamelHttpUri, который учитывается по умолчанию, что приводит к SSRF.

Каждый подкаталог представляет собой автономный проект (плюс контейнер LocalStack, запускаемый его docker-compose.yml) с собственным Dockerfile и README. Вкратце, для любого из них:

Сводка по уязвимости

Консультация: https://camel.apache.org/security/CVE-2026-46456.html

Отказ от ответственности

Эти воспроизведения предоставлены только для исследований в области безопасности и авторизованного тестирования, для публично раскрытой и исправленной уязвимости. Не используйте их против систем без явного разрешения.