JVNDB-2026-023012

Apache Software FoundationのApache Camelにおける複数の脆弱性

Apache CamelのAtmosphere Websocketコンポーネントには、不適切な入力検証、認可されていないアクターへの機密情報の露出、およびサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。camel-atmosphere-websocketのコンシューマは、受信したWebSocketのクエリパラメータに対してHeaderFilterStrategyを適用せずにCamel Exchangeのヘッダーマップにマッピングしています（WebsocketConsumer.sendEventNotification()はWebsocketConsumer.service()で収集されたクエリ文字列マップを反復処理し、各エントリをExchangeにコピーしています）。Camelのヘッダネームスペースをブロックする仕組みがなかったため、WebSocketエンドポイントに接続するクライアントは、クエリパラメータとして単に指定するだけでCamel内部の制御ヘッダー（CamelHttpUri（Exchange.HTTP_URI）など）を設定できました。WebSocketコンシューマが下流のHTTPプロデューサに接続されているルートでは、注入されたCamelHttpUriがサーバー側のHTTPリクエストを攻撃者が選択した宛先へリダイレクトします（サーバーサイドリクエストフォージェリ。例えば内部サービスやクラウドのメタデータエンドポイント）。さらに、HTTPプロデューサは生成された（攻撃者制御下の）URI上のCamelプロパティプレースホルダーを解決するため、注入値中の環境変数参照やアプリケーションプロパティ、Vault参照なども実際の値に解決して送信され、環境変数、アプリケーション設定およびVaultシークレットが漏洩します。WebSocketエンドポイントが認証なしで公開されている場合は、認証されていないリモート攻撃者がこれを利用できます。本問題はApache Camelの4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満のバージョンに影響します。ユーザーには本問題を修正した4.21.0へのアップグレードを推奨します。4.14.x LTS系列を利用している場合は4.14.8へ、4.18.x系列では4.18.3へのアップグレードを推奨します。修正内容としては、HTTP/servletスタックから継承しているHeaderFilterStrategyをコンシューマに適用し、受信時にCamelヘッダネームスペースを大文字小文字を区別せずにフィルター処理することで、外部から提供されたCamel*またはcamel*ヘッダーがExchangeにコピーされないようにしています。直ちにアップグレードできない環境では、下流のプロデューサに到達する前に受信メッセージからCamel制御ヘッダーを削除する（例：ルートの先頭でremoveHeaders('Camel*')やremoveHeaders('camel*')を実行する）、WebSocketエンドポイントで認証を必須とする、不信なコンシューマから直接HTTPプロデューサに接続し、メッセージヘッダーで制御されるターゲットURIを持つ構成を避けることが推奨されます。

Apache Software Foundation

• Apache Camel 4.0.0 以上 4.14.8 未満
• Apache Camel 4.15.0 以上 4.18.3 未満
• Apache Camel 4.19.0 以上 4.21.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-55993 - Apache Camel

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-55993: Apache Camel: Camel-Atmosphere-Websocket: The inbound consumer maps externally-supplied WebSocket query parameters into the Exchange without a HeaderFilterStrategy, allowing injection of Camel control headers - enabling serv

1. 不適切な入力確認(CWE-20) [その他]
2. 情報漏えい(CWE-200) [その他]
3. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-55993

1. National Vulnerability Database (NVD) : CVE-2026-55993

• [2026年07月10日]
    掲載