CVE-2026-71300 in Camel
Riassunto
di VulDB • 24/08/2026
Vulnerabilità di convalida impropria dell'input nel componente Atmosphere Websocket di Apache Camel.
Questo problema interessa Apache Camel: dalle versioni 4.0.0 alla 4.14.9 (esclusa), dalla 4.15.0 alla 4.18.4 (esclusa) e dalla 4.19.0 alla 4.22.0 (esclusa).
Il producer camel-atmosphere-websocket seleziona i peer WebSocket connessi a cui viene consegnato un messaggio tramite gli header di Exchange, e i valori stringa di tali header si trovavano al di fuori dello spazio dei nomi Camel: websocket.connectionKey e websocket.connectionKey.list, insieme a websocket.sendToAll, websocket.eventType e websocket.errorType. WebsocketEndpoint estende ServletEndpoint ed eredita quindi HttpHeaderFilterStrategy, che filtra solo i prefissi Camel e camel; i nomi con la notazione puntata (dotted names) cadevano pertanto al di fuori dello spazio dei nomi filtrato e venivano ammessi in entrambe le direzioni da ogni consumer della famiglia HTTP. In un route che fa da ponte tra un consumer HTTP e un producer atmosphere-websocket, un mittente esterno potrebbe fornire l'header list e assumere il controllo della decisione di dispatch del producer. WebsocketProducer.process testa prima l'header list rispetto all'header a chiave singola, quindi un valore iniettato scartava il destinatario selezionato dal route: una notifica destinata a un client connesso specifico poteva essere soppressa o consegnata invece a un altro cliente la cui connection key era nota al mittente. L'header non deve necessariamente essere un parametro di query né fornito letteralmente come lista; l'binding HTTP di Camel promuove un nome di header ripetuto e un valore tra parentesi quadre a una List durante il mapping su Exchange, quindi è sufficiente un normale header HTTP in ingresso per raggiungere il ramo con valore list. Questo comportamento è distinto da CVE-2026-55993, che riguarda il percorso dei parametri di query lato consumer nello stesso componente. Il problema risale all'introduzione di queste costanti, rilasciate inizialmente nella versione 2.17.0, ed era rimasto invariato fino a questa correzione.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 4.22.0, che corregge il problema. Se gli utenti utilizzano la serie LTS delle versioni 4.14.x, si suggerisce di aggiornare alla 4.14.9. Se gli utenti utilizzano la serie delle versioni 4.18.x, si suggerisce di aggiornare alla 4.18.4. Per le distribuzioni che non possono effettuare l'aggiornamento immediatamente, è necessario rimuovere gli header di dispatch al confine di fiducia prima del producer, ad esempio utilizzando removeHeaders("websocket.*") posizionato tra il consumer HTTP e il producer atmosphere-websocket. Si noti che la correzione rinomina i valori stringa degli header nello spazio dei nomi Camel, il quale rappresenta un breaking change per i route che li impostano tramite stringhe letterali: i route che fanno riferimento ai campi WebsocketConstants in modo simbolico non sono interessati, e la modifica è documentata nelle guide all'aggiornamento. Come difesa in profondità (defence in depth), non fare da ponte tra un consumer HTTP non attendibile e direttamente a un producer WebSocket il cui dispatch è guidato dagli header senza aver prima rimosso lo spazio dei nomi di dispatch.
If you want to get best quality of vulnerability data, you may have to visit VulDB.