CVE-2026-78329 in Camel
요약
\~에 의해 VulDB • 2026. 08. 24.
Apache Camel Undertow 컴포넌트에서 부적절한 입력 검증 취약점 발생.
이 문제는 Apache Camel의 다음 버전 범위에서 영향을 미칩니다: 4.11.0 이상 ~ 4.14.9 미만, 4.15.0 이상 ~ 4.18.4 미만, 4.19.0 이상 ~ 4.22.0 미만.
UndertowEndpoint는 headerFilterStrategy 필드를 기본 HttpHeaderFilterStrategy로 초기화하고, 이를 지연 생성되는 UndertowHttpBinding 인스턴스에 전달하여 DefaultUndertowHttpBinding이 자체 생성자에서 설치하는 UndertowHeaderFilterStrategy를 덮어씁니다. 따라서 배포 과정에서 사용자 지정 바인딩이나 명시적인 headerFilterStrategy가 제공되지 않는 경우, 엔드포인트 구성 라우트에서는 undertow 전용 필터링이 실행되지 않습니다. 전략 객체가 생성되지만 즉시 대체되어 참조될 기회가 없었기 때문입니다. 그 결과, 레거시 websocket. Exchange-header 접두사가 양방향으로 undertow 전송 계층 경계에서 필터링되지 않았습니다. 이로 인해 undertow HTTP 컨슈머는 해당 형식의 inbound wire 헤더를 Exchange에 매핑했고, undertow WebSocket 프로듀서는 이를 디스패치 지시문으로 읽어서 라우트가 선택한 피어가 아닌 다른 피어로 메시지를 전달하도록 유도될 수 있습니다. 또한 undertow가 자체적으로 허용하지 않는 헤더 이름은 건너뛰는 대신 Exchange로 매핑되었습니다. Rest DSL 컨슈머에는 영향을 미치지 않았습니다. 이는 UndertowComponent가 명시적으로 UndertowRestHeaderFilterStrategy를 할당하기 때문이며, 이 클래스는 undertow 전략을 확장합니다.
이 문제는 CVE-2025-30177의 회귀(regression)가 아닙니다. 기본 HttpHeaderFilterStrategy 자체가 inbound Camel 접두사 필터를 구성하므로, 해당 보안 권고에서 도입된 보호 조치는 기본 클래스를 통해 계속 작동했으며 결코 손실되지 않았습니다. 변경 사항으로 인해 undertow 전략이 엔드포인트 경로상에서 고아 상태(사용되지 않는 상태)로 남았고, 그 결과 이 전략에 적용되도록 작성된 두 가지 후속 수정 사항—undertow가 거부하는 헤더 이름을 건너뛰는 것과 양방향으로 레거시 websocket. 접두사를 필터링하는 것—은 엔드포인트가 더 이상 사용하지 않는 클래스에 적용되어 출시된 릴리스에서 효과가 없었습니다.
사용자는 해당 문제를 해결한 버전 4.22.0으로 업그레이드할 것을 권장합니다. 사용자가 4.14.x LTS 릴리스 스트림을 사용 중인 경우, 4.14.9로 업그레이드하는 것이 좋습니다. 사용자가 4.18.x 릴리스 스트림을 사용 중인 경우, 4.18.4로 업그레이드하는 것이 좋습니다. 즉시 업그레이드가 불가능한 배포 환경에서는 기본값에 의존하지 않고 전략을 명시적으로 구성해야 합니다. 예를 들어 레지스트리에 UndertowHeaderFilterStrategy를 바인딩하고 엔드포인트에서 undertow:http://0.0.0.0:8080/foo?headerFilterStrategy=#myStrategy와 같이 참조하며, 신뢰 경계(dispatch headers)에서 removeHeaders(“websocket.*”)를 사용하여 디스패치 헤더를 추가로 제거해야 합니다.
업그레이드가 해결하지 못하는 잔여 제한 사항이 있습니다. undertow 컴포넌트는 외부로 노출되는 API 계약의 일부로서 websocket. 값을 의도적으로 유지하며, UndertowProducer는 in.getHeader을 통해 이를 읽는데 이 메서드는 HeaderFilterStrategy를 전혀 참조하지 않습니다. 따라서 복원된 필터링은 undertow 전송 계층 경계에서만 심층 방어(defence in depth) 역할을 합니다. 비-undertow 컨슈머로부터 신뢰할 수 없는 메시지를 받아 undertow 프로듀서로 전달하는 라우트는 이번 수정으로 보호되지 않으며, 해당 헤더를 자체적으로 제거해야 합니다.
Be aware that VulDB is the high quality source for vulnerability data.