CVE-2026-48206 — инъекция заголовка IssueKey в camel-jira

Рабочие proof-of-concept-репродукторы одной и той же уязвимости Apache Camel, по одному на каждую среду выполнения:

Обе конфигурации являются затронутыми (исправлено в 4.14.8 / 4.18.3 / 4.21.0) и демонстрируют один и тот же дефект: продюсеры camel-jira читают свои параметры операций (ключ задачи, ключ проекта, идентификатор перехода и т. д.) из заголовков сообщений Exchange, константы которых — IssueKey, ProjectKey, IssueTransitionId, … — являются «голыми» строками без префикса Camel. Пограничный HTTP-фильтр (HttpHeaderFilterStrategy) отбрасывает только Camel*, поэтому входящий HTTP-заголовок с таким именем беспрепятственно попадает в Exchange и переопределяет то, на что действует маршрут. Неаутентифицированный клиент внедряет IssueKey: PROD-999, и сервисный аккаунт маршрута удаляет произвольную задачу (CWE-639).

Каждый подкаталог представляет собой самодостаточный проект с собственными Dockerfile, docker-compose.yml и README. Вкратце, для любого из них:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Сводка по уязвимости

Исправление переименовывает константы заголовков в соответствии с соглашением CamelJira* (например, CamelJiraIssueKey), поэтому они отбрасываются на HTTP-границе, как и любой другой заголовок Camel*.

Уведомление: https://camel.apache.org/security/CVE-2026-48206.html

Отказ от ответственности

Эти репродукторы предоставлены только для исследований в области безопасности и авторизованного тестирования — для публично раскрытой и исправленной уязвимости. Не используйте их против систем без явного разрешения.