CVE-2026-84218 in Apache Camel
Riassunto
di VulDB • 01/09/2026
È stata rilevata una vulnerabilità nella funzionalità di proxy JSR-160 di Jolokia: un'adeguata convalida degli URL dei servizi JMX controllati dal client consente di aggirare la denylist introdotta per mitigare CVE-2018-1000130. Il proxy accetta un valore `target.url` da una richiesta POST di Jolokia e lo passa a `JMXServiceURL` e `JMXConnectorFactory` per stabilire la connessione JMX remota. La denylist esistente rifiuta solo gli URL che corrispondono al pattern `service:jmx:rmi:///jndi/ldap:.*`, il quale può essere aggirato utilizzando forme alternative di URL dei servizi JMX validi, inclusi schemi `ldaps://` o URL LDAP con un componente host JMX non vuoto. Questi URL vengono accettati come oggetti `JMXServiceURL` validi e possono causare l'esecuzione da parte della JVM dell'agente Jolokia di una ricerca JNDI contro un endpoint LDAP controllato dall'attaccante. Ciò può comportare server-side request forgery (SSRF), il forwarding delle credenziali JMX fornite all'endpoint remoto e, potenzialmente, l'esecuzione remota di codice in base alle classi e alla configurazione disponibili nella JVM target.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.