CVE-2026-71569

اسم البرنامج المصاب والإصدارات المتأثرة Apache Camel الإصدارات من 4.21.0 إلى 4.22.1

Description توجد ثغرة من نوع تزوير الطلبات عبر الخادم (SSRF) في مكون A2A الخاص بـ Apache Camel. يقوم WebhookUrlValidator بتصنيف مضيفات ويب هوك (webhook) لإشعارات الدفع بشكل غير متسق. تحديداً، يتم التحقق من المضيفات المكتوبة كعناوين IP حرفية مقابل قائمة بادئات لنطاق IPv6 المحلي الفريد fc00::/7، بينما يتم حل المضيفات المكتوبة كأسماء والتحقق منها باستخدام مسندات InetAddress. وبما أن هذه المسندات لا تغطي نطاق fc00::/7، يمكن لعنوان ويب هوك يتم حله إلى هذا النطاق تجاوز تدابير الحماية. يتيح ذلك للمهاجم التحكم في المتغير TaskPushNotificationConfig.url لإرسال طلبات HTTPS خارجية عمياء من عملية Camel إلى عناوين داخلية، مع إمكانية تضمين ترويسات التفويض (Authorization). بالإضافة إلى ذلك، كانت عملية التحقق المسبق تحظر بشكل خاطئ أي أسماء مضيفات تبدأ بـ fc أو fd، مثل fcm.googleapis.com، بغض النظر عما إذا كانت عناوين IP حرفية.

Recommendations التحديث إلى الإصدار 4.23.0. التحديث إلى الإصدار 4.22.2 للمستخدمين على مسار إصدارات 4.22.x. بالنسبة للإصدارات 4.21.x، يجب الانتقال إلى إصدار مدعوم لأن هذا الإصدار قد انتهى دعمه. وضع نظام مصادقة أمام مسار تكوين إشعارات الدفع A2A لمنع المستخدمين غير الموثوقين من تقديم عنوان الويب هوك. منع خروج حركة مرور الشبكة من عملية Camel إلى نطاق fc00::/7. تشغيل JVM باستخدام -Djava.net.preferIPv4Stack=true في حال عدم الحاجة إلى IPv6.