CVE-2026-71569

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.21.0 até 4.22.1

Description Uma falha de Server-Side Request Forgery (SSRF) no componente A2A do Apache Camel ocorre porque o WebhookUrlValidator classificava hosts de webhook de notificação push de forma inconsistente. Hosts fornecidos como literais de IP eram verificados contra uma lista de prefixos para a faixa local única IPv6 fc00::/7, enquanto hosts fornecidos como nomes eram resolvidos e verificados usando predicados InetAddress. Como esses predicados não cobriam a faixa fc00::/7, uma URL de webhook que resolvesse para essa faixa poderia burlar as proteções. Isso permite que um invasor controle a variável TaskPushNotificationConfig.url para disparar requisições HTTPS externas cegas do processo Camel para endereços internos, potencialmente incluindo cabeçalhos de Autorização. Além disso, a pré-verificação bloqueava incorretamente qualquer nome de host começando com fc ou fd, como fcm.googleapis.com, independentemente de serem literais de IP.

Recommendations Atualizar para a versão 4.23.0. Atualizar para a versão 4.22.2 para aqueles na linha de lançamento 4.22.x. Para as versões 4.21.x, migrar para um lançamento suportado, pois esta versão atingiu o fim da vida útil. Implementar autenticação no caminho de configuração de notificação push A2A para evitar que chamadores não confiáveis forneçam a URL do webhook. Negar a saída de rede do processo Camel para a faixa fc00::/7. Iniciar a JVM com -Djava.net.preferIPv4Stack=true caso o IPv6 não seja necessário.