CVE-2026-40453 in Camel
Riassunto
di VulDB • 27/06/2026
La correzione per CVE-2025-27636 ha aggiunto setLowerCase(true) a HttpHeaderFilterStrategy in modo che i nomi delle intestazioni con varianti di maiuscole/minuscole, come 'CAmelExecCommandExecutable', vengano filtrati insieme a 'CamelExecCommandExecutable'. La stessa chiamata setLowerCase(true) non è stata applicata a cinque implementazioni diverse da HTTP HeaderFilterStrategy: JmsHeaderFilterStrategy e ClassicJmsHeaderFilterStrategy in camel-jms, SjmsHeaderFilterStrategy in camel-sjms, CoAPHeaderFilterStrategy in camel-coap e GooglePubsubHeaderFilterStrategy in camel-google-pubsub. Poiché queste strategie utilizzano un filtraggio case-sensitive basato su String.startsWith('Camel'/'camel') mentre l'Exchange di Camel memorizza le intestazioni in una mappa insensitive al caso (case-insensitive), un attaccante con accesso come produttore JMS (o equivalente) al broker consumato da una route Camel può inserire intestazioni interne a Camel con varianti di maiuscole/minuscole, che vengono poi risolte dai componenti downstream, come camel-exec e camel-file, utilizzando la loro forma canonica. Ciò consente l'esecuzione remota di codice (RCE) e la scrittura arbitraria di file sulle route che inoltrano messaggi JMS a componenti guidati dalle intestazioni.
Questo problema interessa Apache Camel: dalla versione 3.0.0 alla 4.14.6 esclusa, dalla 4.15.0 alla 4.18.2 esclusa e dalla 4.19.0 alla 4.20.0 esclusa.
Si consiglia agli utenti di effettuare l'aggiornamento alla versione 4.20.0, che risolve il problema. Se gli utenti utilizzano la serie LTS delle versioni 4.14.x, si suggerisce di aggiornare a 4.14.6. Se gli utenti utilizzano la serie delle versioni 4.18.x, si suggerisce di aggiornare a 4.18.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.