Validação de entrada incorrecta, exposição de informações sensíveis a um ator não autorizado, vulnerabilidade de falsificação de solicitação de lado servidor (SSRF) no Apache Camel no componente Iggy. O consumidor de camelo-iggy mapeou os cabeçalhos de usuário das mensagens Iggy entrantes no mapa de cabeçalho da Exchange Camel sem aplicar nenhuma estratégia de cabeçalho (IggyFetchRecords copiaram os cabeçalhos de usuário da mensagem diretamente para a Exchange). Como nada bloqueou o espaço de nomes do cabeçalho do Camel, um ator capaz de publicar para o stream/ tópico Iggy consumido poderia definir os cabeçalhos de controle interno do Camel - incluindo o CamelHttpUri (Exchange.HTTP_ URI) - simplesmente fornecendo- os como cabeçalhos de usuário da mensagem. Numa rota onde o consumidor Iggy alimenta um produtor HTTP a jusante, o CamelHttpUri injetado redireciona o pedido HTTP do lado do servidor para um destino do atacante- escolhido (forgeria do pedido do lado do servidor - por exemplo para um serviço interno ou um objetivo de metadados na nuvem). Além disso, o produtor HTTP resolve os marcadores de propriedades Camel no URI resultante (controlado pelo atacante), assim os marcadores de localização incorporados no valor injetado - como uma referência variável de ambiente, uma propriedade de aplicativo ou uma referência de cofre - são resolvidos para seus valores reais e enviados ao atacante, divulgando variáveis de ambiente, propriedades de aplicativo e segredos de cofre. Esta questão afeta o Apache Camel: from 4.17.0 antes 4.18.3, a partir de 4.19.0 antes 4.21.0.
Os usuários são recomendados para atualizar para a versão 4.21.0, que corrige o problema. Se os usuários estiverem no 4.18.x libera o stream, então eles são sugeridos para atualizar para 4.18.3. A correção adiciona uma IggyHeaderFilterStrategy dedicada (e uma opção de endpoint de HeaderFilterStrategy) que filtra o caso do espaço de nomes do Camel insensivelmente no mapeamento de entrada, de modo que os cabeçalhos do Camel* / camelo* fornecidos externamente não são mais copiados no Exchange. Para implantações que não possam atualizar imediatamente, tire os cabeçalhos de controle Camel da mensagem de entrada antes de chegarem a qualquer produtor a jusante (por exemplo removeHeaders('Camel*') e removeHeaders('camel*') no início da rota), restringe quem pode publicar para o stream/ tópico Iggy consumido, e evita colar um consumidor não confiado diretamente em um produtor HTTP cujo URI alvo pode ser levado a partir de cabeçalhos de mensagem. Registro de aconselhamento: GHSA- pw 9 q- pq 7 C- rfqw. Identificadores relacionados: CVE- 2026 - 55994.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 06 T 09: 30: 30.000 Z e lista a sua última modificação como 2026 - 08 - 28 T 20: 09: 38.000 Z.
Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.
Informações sobre software e versão afetadas: Pacote org.apache.camel:camel- iggy — ECOSISTEM: introduzido 4.17.0, corrigido 4.18.3. Pacote Maven org.apache.camel:camel- iggy — ECOSISTEM: introduzido 4.19.0, corrigido 4.21.0.
Classificação e evidência: identificadores de fraqueza CWE- 20, CWE- 918. O registro contém 11 suporte de referências nestes tipos: AVISO, WEB, EMBALAGEM.