Podatności Apache Camel

Apache Camel w wersjach od 2.6.x do 2.14.x, 2.15.x przed 2.15.5 oraz 2.16.x przed 2.16.1, przy użyciu camel-jetty lub camel-servlet jako konsumentów w trasach Camel, umożliwia zdalnym atakującym wykonanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java w żądaniu HTTP.

Komponent XSLT w Apache Camel przed wersją 2.11.4 oraz 2.12.x przed wersją 2.12.3 umożliwia zdalnym atakującym odczyt dowolnych plików oraz potencjalnie inne nieokreślone skutki poprzez dokument XML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).

Podatność w Apache Camel Atmosphere Websocket component wynika z nieprawidłowej walidacji nagłówków Exchange, które nie należą do przestrzeni nazw Camel (websocket.connectionKey, websocket.connectionKey.list, websocket.sendToAll, websocket.eventType, websocket.errorType). Zewnętrzny atakujący może dostarczyć nagłówek listy przez HTTP i przejąć decyzję o routingu wiadomości do WebSocket, co może prowadzić do pominięcia lub przekierowania powiadomień do innego klienta.

Podatność typu Relative Path Traversal w komponencie Apache Camel Azure Storage Blob umożliwia zapis pliku poza skonfigurowanym katalogiem podczas operacji downloadBlobToFile. Nazwa blobu z segmentami katalogu nadrzędnego nie jest normalizowana, co pozwala na nadpisanie dowolnego pliku w systemie plików z uprawnieniami procesu Camel.

W komponencie Apache Camel AWS SNS wykryto brak filtra dla nagłówków przychodzących w strategii Sns2HeaderFilterStrategy. Podatność nie jest jednak osiągalna, ponieważ komponent jest wyłącznie produkcyjny (nie obsługuje konsumentów), więc atakujący nie może dostarczyć zewnętrznych atrybutów wiadomości do Camel Exchange. Mimo to dodano filtr defensywny dla spójności z innymi strategiami.

W komponencie camel-keycloak Apache Camel wykryto podatność polegającą na pomijaniu weryfikacji tokena dostępu w domyślnej konfiguracji. Gdy wymagane role lub uprawnienia są puste, token nie jest weryfikowany kryptograficznie, co pozwala na dostęp do chronionych tras z dowolnym nagłówkiem Authorization.

Podatność w komponencie DNS Apache Camel umożliwia atak SSRF poprzez nieprawidłową walidację nagłówków wiadomości. Atakujący może ustawić nagłówki dns.server, dns.name i dns.domain w żądaniu HTTP, co prowadzi do przekierowania zapytań DNS na kontrolowany serwer i ujawnienia wewnętrznych nazw hostów.

Podatność w Apache Camel w komponencie mongodb-gridfs pozwala atakującemu na manipulację operacjami GridFS poprzez nagłówki HTTP. Brak walidacji wejścia i kontroli dostępu umożliwia nieautoryzowane usuwanie, odczyt lub wyliczanie plików oraz wstrzykiwanie operatorów NoSQL.

Podatność w komponencie Apache Camel Solr umożliwia ataki typu SSRF oraz wstrzykiwanie parametrów i pól do zapytań Solr. Nagłówki Exchange z prefiksami SolrParam. i SolrField. są przekazywane bez filtrowania z żądań HTTP do producenta Solr, co pozwala atakującemu na manipulację zapytaniami i dokumentami indeksowanymi.

Podatność w komponencie AWS2-SQS Apache Camel pozwala atakującemu na wstrzyknięcie nagłówków kontrolnych Camel (np. CamelHttpUri, CamelFileName) poprzez wiadomości SQS. Brak filtrowania przychodzących nagłówków w Sqs2HeaderFilterStrategy umożliwia modyfikację zachowania producentów w trasie Camel.

W komponencie camel-keycloak Apache Camel brakuje walidacji okresu ważności tokena dostępu. Funkcja pomocnicza nie sprawdza, czy token wygasł lub nie jest jeszcze ważny, przez co akceptuje tokeny poza ich dozwolonym przedziałem czasowym.

Podatność w komponencie Apache Camel Cometd umożliwia atakującemu wstrzyknięcie dowolnych nagłówków sterujących Camel do wymiany komunikatów. Brak filtra nagłówków (HeaderFilterStrategy) powoduje, że nagłówki dostarczone przez klienta CometD, w tym wewnętrzne nagłówki Camel (np. CamelHttpUri, CamelFileName), są kopiowane bez zmian. Domyślnie brak uwierzytelnienia (Bayeux SecurityPolicy) pozwala każdemu klientowi na opublikowanie takiego komunikatu.

Podatność w komponencie camel-pqc Apache Camel umożliwia deserializację niezaufanych danych z AWS Secrets Manager. Luka wynika z braku filtrowania podczas deserializacji obiektów Java, co może prowadzić do zdalnego wykonania kodu.

Podatność w komponencie camel-docling Apache Camel umożliwia wstrzykiwanie argumentów CLI i przechodzenie do katalogów nadrzędnych (directory traversal) poprzez niewystarczającą walidację nagłówków wymiany. Atakujący może dostarczyć nieautoryzowane flagi lub ścieżki wykraczające poza zamierzony katalog, co prowadzi do wykonania nieoczekiwanych operacji przez zewnętrzne narzędzie docling.

Podatność w Apache Camel pozwala na wstrzykiwanie nagłówków wewnętrznych przez niezaufane żądania HTTP do endpointów CXF i Knative. Brak filtrowania przychodzących nagłówków umożliwia atakującemu nadpisanie kluczowych nagłówków Camel, co może prowadzić do zdalnego wykonania kodu lub zapisu dowolnych plików.

Podatność w komponencie Camel-Coap Apache Camel umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu poprzez wysłanie pojedynczego pakietu UDP CoAP. Brak filtrowania nagłówków powoduje, że parametry zapytania są mapowane bezpośrednio na nagłówki Camel, co pozwala na wstrzyknięcie nagłówków sterujących wykonaniem poleceń systemowych.

Komponent Camel-Mail w Apache Camel nie filtruje nagłówków MIME w kierunku 'in', co pozwala atakującemu na wstrzyknięcie nagłówków Camel poprzez dostarczenie spreparowanej wiadomości e-mail. Podatność dotyczy wersji od 3.0.0 do 4.14.5 oraz od 4.15.0 do 4.18.0.

Podatność w Apache Camel umożliwia zdalne wykonanie kodu poprzez deserializację niezaufanych danych z JMS ObjectMessage. Problem dotyczy komponentów camel-jms, camel-sjms, camel-sjms2, camel-amqp, camel-activemq i camel-activemq6.

Poprawka dla CVE-2025-27636 dodała setLowerCase(true) do HttpHeaderFilterStrategy, ale nie została zastosowana do pięciu innych implementacji HeaderFilterStrategy w Apache Camel. Atakujący z dostępem do brokera JMS może wstrzyknąć nagłówki Camel o zmiennej wielkości liter, co prowadzi do zdalnego wykonania kodu i zapisu plików.

Operacje unmarshalling w Apache Camel z użyciem Jackson i JacksonXML są podatne na ataki zdalnego wykonania kodu.

W Apache Camel Platform HTTP Main wykryto podatność polegającą na nieprawidłowym uwierzytelnianiu JWT. Gdy nie skonfigurowano parametrów jwtIssuer ani jwtAudience, serwer weryfikował tylko podpis i ważność tokena, pomijając całkowicie walidację roszczeń iss i aud. Dotyczy to wersji od 4.8.0 do 4.21.x, a poprawka jest dostępna w wersji 4.22.0.

Podatność typu Relative Path Traversal w komponencie Google Storage Apache Camel umożliwia zapis plików poza skonfigurowanym katalogiem pobierania. Problem dotyczy konsumenta camel-google-storage, który nie normalizuje ścieżek i nie sprawdza, czy cel pozostaje w dozwolonym miejscu, gdy opcja downloadFileName jest ustawiona. Atakujący może wpłynąć na nazwy obiektów w zasobniku, powodując nadpisanie dowolnego pliku z uprawnieniami procesu Camel.

Podatność w komponencie Knative Apache Camel umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie wewnętrznych nagłówków Camel (np. CamelHttpUri, CamelHttpPath, CamelFileName) poprzez żądanie CloudEvent w trybie strukturalnym. Dzieje się tak, ponieważ atrybuty rozszerzeń CloudEvent są kopiowane do nagłówków Exchange bez filtrowania, co pozwala na nadpisanie skonfigurowanych wartości w trasach przekazujących wiadomości do komponentów sterowanych nagłówkami, takich jak camel-http czy camel-file.

Podatność względnej ścieżki (path traversal) w komponencie Apache Camel Azure-Storage Datalake umożliwia zapis pliku poza skonfigurowanym katalogiem docelowym podczas operacji downloadToFile. Nazwy plików z segmentami katalogów nadrzędnych nie są normalizowane ani sprawdzane, co pozwala na tworzenie lub nadpisywanie plików w dowolnej lokalizacji osiągalnej dla procesu Camel.

Podatność w Apache Camel polega na niewłaściwej walidacji danych wejściowych w komponencie camel-mail. Gdy format danych MimeMultipart jest skonfigurowany z headersInline=true, nagłówki MIME z wiadomości są kopiowane do nagłówków Camel bez filtrowania, co pozwala atakującemu na wstrzyknięcie nagłówków z wewnętrznej przestrzeni nazw Camel i nadpisanie zachowania komponentów.

Podatność polegająca na nieprawidłowej walidacji danych wejściowych w Apache Camel. Luka umożliwia potencjalne ataki poprzez wprowadzenie złośliwych danych.

W Apache Camel wykryto podatność polegającą na nieprawidłowej walidacji danych wejściowych. Luka umożliwia atakującemu wprowadzenie złośliwych danych, co może prowadzić do nieoczekiwanego zachowania aplikacji.

W Apache Camel wykryto podatność polegającą na nieprawidłowej walidacji danych wejściowych. Luka umożliwia atakującemu wprowadzenie złośliwych danych, co może prowadzić do nieoczekiwanego zachowania aplikacji.

Podatność w komponencie Apache Camel Undertow powoduje wyciek wrażliwych informacji poprzez zwracanie pełnego stack trace'a w odpowiedzi HTTP. Domyślnie opcja muteException ma wartość false, co powoduje, że przy błędzie przetwarzania trasy zwracany jest szczegółowy wyjątek. Rest DSL dodatkowo ignoruje tę opcję, zawsze zwracając stack trace.

Podatność w komponencie Atmosphere Websocket w Apache Camel umożliwia atakującemu wstrzyknięcie wewnętrznych nagłówków sterujących Camel przez parametry zapytania WebSocket. Prowadzi to do fałszowania żądań po stronie serwera (SSRF) oraz ujawnienia wrażliwych informacji, takich jak zmienne środowiskowe, właściwości aplikacji i sekrety z vaultów.

W komponencie Apache Camel Netty HTTP wykryto podatność polegającą na domyślnym ustawieniu opcji muteException na false, co powoduje zwracanie pełnego stosu wywołań (stack trace) w odpowiedzi HTTP na błędy przetwarzania żądań. W efekcie nieuwierzytelniony klient może uzyskać wrażliwe informacje, takie jak dane uwierzytelniające, ścieżki systemowe czy szczegóły wersji bibliotek.

Podatność w komponencie Apache Camel Salesforce pozwala atakującemu na wstrzyknięcie własnych zapytań SOQL/SOSL, nadpisanie docelowego obiektu SObject lub przekierowanie wywołań Apex REST poprzez ustawienie nagłówków sterujących w żądaniu HTTP. Dzieje się tak, ponieważ nagłówki te nie mają prefiksu 'Camel' i nie są blokowane przez filtr HttpHeaderFilterStrategy, co umożliwia ich przedostanie się z żądania HTTP do producenta Salesforce.

Podatność w komponencie Apache Camel Kafka umożliwia atakującemu nadpisanie docelowego tematu Kafka za pomocą nagłówka `kafka.OVERRIDE_TOPIC` w żądaniu HTTP. Brak walidacji wejścia i neutralizacji specjalnych elementów w nagłówkach powoduje, że w trasach łączących konsumenta HTTP z producentem Kafka, dowolny klient HTTP może przekierować wiadomość do dowolnego tematu Kafka, w tym wrażliwych wewnętrznych tematów. Problem dotyczy wersji Apache Camel od 4.0.0 do 4.14.7, od 4.15.0 do 4.18.2 oraz od 4.19.0 do 4.20.0.

Podatność w komponencie IRC frameworka Apache Camel umożliwia atakującemu wstrzyknięcie nagłówków sterujących (np. irc.sendTo) przez niezaufane wejście HTTP, co pozwala na przekierowanie wiadomości IRC do dowolnego kanału lub użytkownika. Problem wynika z braku walidacji danych wejściowych i neutralizacji specjalnych elementów w nagłówkach, które nie są blokowane przez strategię filtrowania HTTP.

Podatność w komponencie DAPR frameworka Apache Camel umożliwia atakującemu przekierowanie wiadomości do dowolnego komponentu i tematu Pub/Sub Dapr. Wynika to z nieprawidłowej walidacji nagłówków CamelDaprPubSubName i CamelDaprTopic, które są kopiowane z przychodzących zdarzeń CloudEvent i używane jako routing producenta.

Podatność w Apache Camel w komponencie Vertx Websocket pozwala atakującemu na wstrzyknięcie nagłówków sterujących Camel, w tym CamelHttpUri, poprzez parametry zapytania WebSocket. Prowadzi to do fałszowania żądań po stronie serwera (SSRF) oraz ujawnienia wrażliwych informacji, takich jak zmienne środowiskowe, właściwości aplikacji i sekrety z vaultu. Problem dotyczy wersji od 4.0.0 do 4.14.7, od 4.15.0 do 4.18.2 oraz od 4.19.0 do 4.20.0.

Podatność w komponencie Apache Camel CXF SOAP umożliwia atakującemu manipulację nagłówkami operationName/operationNamespace w celu wywołania niezamierzonej operacji WSDL na backendzie. Brak prefiksu Camel w tych nagłówkach powoduje, że nie są one filtrowane na granicy HTTP, co pozwala na przekazanie ich z żądania HTTP do Exchange. W rezultacie atakujący może podmienić operację odczytu na destrukcyjną, działając jako 'confused deputy'.

Podatność w komponencie Neo4J frameworka Apache Camel umożliwia wstrzyknięcie kodu Cypher poprzez nazwy właściwości w mapie CamelNeo4jMatchProperties. Mimo że wartości właściwości są wiązane jako parametry, nazwy kluczy JSON są konkatenowane bezpośrednio do zapytania, co pozwala atakującemu na modyfikację struktury zapytania i wykonanie dowolnych operacji na bazie Neo4j.

Podatność deserializacji niezaufanych danych w komponencie camel-pqc Apache Camel umożliwia zdalne wykonanie kodu poprzez spreparowany obiekt Java. Luka wynika z braku filtrowania podczas odczytu metadanych kluczy post-kwantowych z backendów HashiCorp Vault, AWS Secrets Manager oraz lokalnego pliku.

W komponencie Lucene w Apache Camel wykryto podatność polegającą na niewłaściwej walidacji danych wejściowych i obejściu autoryzacji poprzez kontrolowany przez użytkownika klucz. Atakujący może ustawić nagłówek QUERY w żądaniu HTTP, co pozwala na wykonanie dowolnego zapytania Lucene, w tym odczytanie całego indeksu lub wykonanie kosztownych zapytań regex, bez wymaganych uprawnień.

Podatność w komponencie Apache Camel Mail umożliwia atakującemu wstrzyknięcie nagłówków wiadomości z przestrzeni nazw mail.smtp.* lub mail.smtps.*, co może prowadzić do przekierowania połączenia SMTP na serwer atakującego (w wersjach przed 4.19.0) lub osłabienia bezpieczeństwa transportu (w nowszych wersjach). Problem wynika z braku filtrowania tych nagłówków przez HeaderFilterStrategy oraz ich interpretacji przez producenta poczty.

Podatność w komponencie camel-nats Apache Camel umożliwia wstrzykiwanie nagłówków kontrolnych Camel przez wiadomości NATS. Brak filtrowania nagłówków powoduje, że atakujący może modyfikować zachowanie tras Camel, np. przekierowywać żądania HTTP lub zmieniać nazwy plików.

W Apache Camel w komponencie camel-elasticsearch-rest-client wykryto podatność polegającą na braku walidacji nagłówków Exchange. Nieprefiksowane nazwy nagłówków (np. SEARCH_QUERY, OPERATION) przechodzą przez filtr HTTP, co pozwala atakującemu na zdalne manipulowanie zapytaniami Elasticsearch bez autoryzacji.

Podatność w Apache Camel (komponenty JMS) umożliwia deserializację niezaufanych danych przez obejście poprawki CVE-2026-40860. Atakujący może opublikować wiadomość JMS ObjectMessage z obiektem DefaultExchangeHolder, który jest akceptowany przez listę dozwolonych klas, a następnie zapisać dowolne dane do wymiany Camel, manipulując routingiem, nagłówkami i właściwościami.

Podatność deserializacji niezaufanych danych w komponencie camel-hazelcast Apache Camel. Domyślna konfiguracja Hazelcast nie stosuje filtra deserializacji, co pozwala atakującemu na zdalne wykonanie kodu poprzez wysłanie spreparowanego obiektu Java do klastra Hazelcast. Problem dotyczy wersji 4.0.0 przed 4.14.8, 4.15.0 przed 4.18.3 oraz 4.19.0 przed 4.21.0.

Podatność deserializacji niezaufanych danych w Apache Camel umożliwia atakującemu wywołanie zapytań DNS poprzez dostarczenie spreparowanego ładunku Java. Problem dotyczy domyślnego wzorca filtru ObjectInputFilter, który przepuszcza klasy java.net.URL i java.net.InetAddress, co pozwala na wyciek danych przez kanał boczny DNS.

Podatność w Apache Camel umożliwia zdalne wykonanie kodu poprzez deserializację niezaufanych danych w komponencie camel-vertx-http. Atakujący może wykorzystać man-in-the-middle lub skompromitowany backend, aby dostarczyć spreparowany obiekt Java, co prowadzi do wykonania kodu na hoście Camel.

Podatność w komponencie camel-consul Apache Camel umożliwia zdalne wykonanie kodu poprzez deserializację złośliwych obiektów Java z magazynu Consul KV. Problem dotyczy klas ConsulRegistry i ConsulRegistryUtils, które nie filtrują deserializowanych danych.

Komponent camel-infinispan w Apache Camel deserializuje dane z zdalnej pamięci podręcznej Infinispan za pomocą java.io.ObjectInputStream bez filtra wejściowego. Atakujący mogący zapisywać do tej pamięci może wstrzyknąć spreparowany obiekt Java, prowadząc do zdalnego wykonania kodu podczas operacji odczytu.

W Apache Camel wbudowany serwer HTTP lub serwer zarządzania (camel-platform-http-main) z włączonym uwierzytelnianiem i skonfigurowaną ścieżką kontekstową (np. /api) nieprawidłowo ogranicza uwierzytelnianie tylko do dokładnej ścieżki, pomijając jej podścieżki. Nieuwierzytelnione żądania do podścieżek, takich jak /api/_route_ lub /admin/observe/info, mogą ujawnić metadane środowiska wykonawczego (użytkownik, katalog roboczy, PID, informacje o JVM i systemie operacyjnym).