CVE-2026-78164

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.0

Description Os componentes Apache Camel HTTP, Netty HTTP, Undertow e Vert.x HTTP possuem um problema onde mensagens recebidas podem sobrescrever a URI do endpoint através dos cabeçalhos CamelHttpUri e CamelRestHttpUri. Esses cabeçalhos são processados pelo CamelContext.resolvePropertyPlaceholders(), que é uma facilidade de resolução de configuração. Isso permite que um invasor acesse variáveis de ambiente do sistema operacional, propriedades do sistema JVM, funções de segredo PropertiesFunction registradas (incluindo AWS, Azure, GCP, HashiCorp, IBM, CyberArk e Kubernetes) e invoque métodos sem argumentos em qualquer bean no registro via camel-bean.

Sete locais de chamada são afetados:

Certos consumidores HTTP podem preencher automaticamente o CamelHttpUri a partir da linha de requisição. Além disso, placeholders não resolvíveis podem disparar uma RuntimeExchangeException que ecoa a URI, revelando potencialmente se uma chave de configuração está definida.

Recommendations Atualize para a versão 4.23.0. Para o fluxo de versões 4.22.x, atualize para 4.22.1. Para o fluxo de versões 4.18.x, atualize para 4.18.5. Para implantações nas versões 4.14.x e anteriores, migre para uma versão suportada. Como solução temporária, remova os cabeçalhos de sobrescrita no limite de confiança usando removeHeader("CamelHttpUri") e removeHeader("CamelRestHttpUri") antes do produtor. Como solução temporária para endpoints camel-http, defina skipControlHeaders=true. Aplique um HeaderFilterStrategy de entrada rigoroso sobre o namespace Camel para consumidores expostos a remetentes não confiáveis. Resolva segredos através de um cofre (vault) em vez de variáveis de ambiente ou propriedades do sistema.