CVE-2026-33453

总结

Apache Camel Camel-Coap 组件中存在动态确定对象属性修改不当漏洞。Apache Camel 的 camel-coap 组件容易受到 Camel 消息头注入攻击，当路由将 CoAP 请求转发给对消息头敏感的生成器（例如 camel-exec）时，可导致远程代码执行。camel-coap 组件将传入的 CoAP 请求 URI 查询参数直接映射到 Camel Exchange In 消息头中，且未应用任何 HeaderFilterStrategy。具体而言，CamelCoapResource.handleRequest() 会遍历 OptionSet.getUriQuery()，并为每个查询参数调用 camelExchange.getIn().setHeader(...)。CoAPEndpoint 继承自 DefaultEndpoint 而非 DefaultHeaderFilterStrategyEndpoint，且 CoAPComponent 未实现 HeaderFilterStrategyComponent；该组件完全不包含对 HeaderFilterStrategy 的引用。因此，未认证的攻击者只需向消费 coap:// 的 Camel 路由发送单个 CoAP UDP 数据包，即可将任意 Camel 内部消息头（以 Camel* 为前缀的）注入 Exchange。当路由将消息传递给对消息头敏感的生成器（如 camel-exec、camel-sql、camel-bean、camel-file 或模板组件（camel-freemarker、camel-velocity））时，注入的消息头可改变生成器的行为。以 camel-exec 为例，CamelExecCommandExecutable 和 CamelExecCommandArgs 消息头会覆盖端点上配置的可执行文件和参数，从而以 Camel 进程的权限执行任意操作系统命令。生成器的输出会被写回 Exchange 主体，并由 CamelCoapResource 在 CoAP 响应负载中返回，为攻击者提供交互式 RCE 通道，无需任何带外数据外泄。利用前提条件极低：只需向 CoAP 端口（默认 5683）发送单个未认证的 UDP 数据报。CoAP（RFC 7252）没有内置认证机制，DTLS 为可选且默认禁用。由于该协议基于 UDP，HTTP 层的 WAF/IDS 防护措施不适用。此问题影响 Apache Camel：4.14.0 至 4.14.5 版本、4.18.0 至 4.18.1 之前的版本、4.19.0 版本。建议用户升级至 4.18.1 或 4.19.0 版本以修复此问题。

• CVE-2026-33453漏洞利用

  提供针对三个严重 Apache Camel 漏洞的可用概念验证漏洞利用及详细分析，包括 CoAP 标头注入和导致远程代码执行的不安全反序列化。

• CVE-2026-33453PoC

  CVE-2026-33453 的复现器：Apache Camel camel-coap 标头注入，通过 camel-exec 实现 RCE