CVE-2026-46454: Krytyczna luka w Apache Camel Cometd Component

Co wiadomo

W Apache Camel Cometd Component wykryto krytyczną lukę polegającą na niewłaściwej walidacji nagłówków wiadomości Bayeux (CometD). Atakujący może wstrzykiwać dowolne nagłówki kontrolne Camel, co może zmieniać zachowanie dalszych komponentów w trasie przetwarzania.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym klientom publikowanie wiadomości z fałszywymi nagłówkami kontrolnymi, co może prowadzić do przekierowania żądań HTTP, zmiany nazw plików lub modyfikacji docelowych kolejek JMS. Skutki zależą od konfiguracji i używanych producentów w trasie Camel, co może prowadzić do poważnych naruszeń integralności i dostępności usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie Apache Camel do wersji 4.21.0 lub odpowiednich wersji LTS (4.14.8, 4.18.3). W przypadku braku możliwości natychmiastowej aktualizacji, należy ręcznie usuwać nagłówki Camel* i camel* z przychodzących wiadomości CometD oraz skonfigurować Bayeux SecurityPolicy, aby wymagać uwierzytelnienia klientów publikujących wiadomości.

Źródła

• NVD
• Reference
• Reference