CVE-2026-84218 in Apache Camel
Zusammenfassung
von VulDB • 01.09.2026
Es wurde ein Fehler in der JSR-160-Proxy-Funktionalität von Jolokia festgestellt, bei dem eine unzureichende Validierung clientgesteuerter JMX-Dienst-URLs einen Umgehung des zur Abmilderung von CVE-2018-1000130 eingeführten Denylists ermöglicht. Der Proxy akzeptiert einen `target.url`-Wert aus einer Jolokia POST-Anfrage und übergibt ihn an `JMXServiceURL` und `JMXConnectorFactory`, um die Remote-JMX-Verbindung herzustellen. Die vorhandene Denylist lehnt nur URLs ab, die mit `service:jmx:rmi:///jndi/ldap:.*` übereinstimmen, was durch alternative gültige JMX-Dienst-URL-Formen umgangen werden kann, einschließlich `ldaps://`-Schemata oder LDAP-URLs mit einer nicht-leeren JMX-Host-Komponente. Diese URLs werden als gültige `JMXServiceURL`-Objekte akzeptiert und können dazu führen, dass die JVM des Jolokia-Agenten eine JNDI-Suche gegen einen Angreifer-kontrollierten LDAP-Endpunkt durchführt. Dies kann zu Server-Side Request Forgery (SSRF), der Weiterleitung von mitgegebenen JMX-Anmeldeinformationen an den Remote-Endpunkt und potenziell zur Remote Code Execution (RCE) führen, abhängig von den im Ziel-JVM verfügbaren Klassen und Konfigurationen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.