PT-2026-55912 · Apache · Apache Camel
CVSS v3.1
9.8
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Camel من 4.0.0 إلى 4.14.7
إصدارات Apache Camel من 4.15.0 إلى 4.18.2
إصدارات Apache Camel من 4.19.0 إلى 4.20.9
الوصف
يوجد خطأ في التحقق من صحة المدخلات في مكون
camel-aws2-sns. كان مكون Sns2HeaderFilterStrategy يفتقر في الأصل إلى قاعدة تصفية واردة، حيث كان يتم تكوين مرشح صادر فقط عبر setOutFilterPattern لحجب رؤوس Camel* وbreadcrumbId وorg.apache.camel.*. وفي حين أن ثغرة مماثلة في مكون camel-aws2-sqs سمحت بحقن رؤوس تحكم Camel عبر HeaderFilterStrategy.applyFilterToExternalHeaders، فإن هذه الثغرة لا يمكن استغلالها في camel-aws2-sns لأن Sns2Endpoint مخصص للمنتجين فقط ولا يدعم المستهلكين، حيث تُطلق createConsumer() استثناء UnsupportedOperationException. يُعد هذا التحديث إجراءً تقويًّا دفاعيًّا متعمقًا لمواءمة التكوين مع الاستراتيجيات الأخرى عن طريق إضافة قاعدة setInFilterStartsWith لمساحة أسماء Camel.التوصيات
قم بتحديث إصدارات Apache Camel من 4.0.0 إلى 4.14.7 إلى الإصدار 4.14.8.
قم بتحديث إصدارات Apache Camel من 4.15.0 إلى 4.18.2 إلى الإصدار 4.18.3.
قم بتحديث إصدارات Apache Camel من 4.19.0 إلى 4.20.9 إلى الإصدار 4.21.0.
قم بتطبيق أذونات IAM ذات الامتيازات الدنيا على مواضيع SNS كأفضل ممارسة عامة.
استغلال
إصلاح
RCE
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Apache Camel