JVNDB-2026-023121 | |
Apache Software FoundationのApache Camelにおける複数の脆弱性 | |
| 概要 | |
Apache CamelのDAPRコンポーネントにおける不適切な入力検証により、意図しないプロキシまたは仲介者（「混乱した代理」）の脆弱性が存在します。camel-daprのDapr Pub/Subコンシューマー（DaprPubSubConsumer）は、受信したCloudEventの各フィールドから2つの値、Pub/Subコンポーネント名とトピックをCamelDaprPubSubNameおよびCamelDaprTopicのExchangeヘッダーにコピーしていました。これら2つのヘッダーはプロデューサ方向のルーティングヘッダーであり、ルートがDaprプロデューサを介して再公開を行う際に、DaprConfigurationOptionsProxyがこれらを読み取り、エンドポイントに設定された宛先よりも優先して利用します。その結果、1つのDapr Pub/Subトピックからメッセージを消費して別のトピックに再公開するルート（例：from('dapr-pubsub:p:t').to('dapr-pubsub:p:other')）において、サブスクライブされたトピックにメッセージを発行できるアクターは、CloudEventのpub/sub-nameとtopicを任意の値に設定可能であり、再公開されるメッセージを意図された宛先ではなく任意のDapr Pub/Subコンポーネントおよびトピックに送信させることができます。これにより、メッセージのリダイレクトや情報漏洩が発生し、ルートの意図したルーティングや基盤となるブローカーのトピックレベルアクセス制御を回避できる恐れがあります。悪用には、ルートがサブスクライブするトピックへの発行権限が必要であり、それ以外の認証やユーザー操作は不要です。この問題は、Apache Camelのバージョン4.12.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満に影響します。ユーザーには、この問題を修正したバージョン4.21.0へのアップグレードを推奨します。4.14.xのLTSリリースを使用している場合は4.14.8へのアップグレードを、4.18.xリリースを使用している場合は4.18.3へのアップグレードを推奨します。すぐにアップグレードできない環境では、ルート内のDaprコンシューマーと任意のDaprプロデューサー間のExchangeからCamelDaprPubSubNameおよびCamelDaprTopicヘッダーを削除（例：removeHeaders('CamelDaprPubSubName', 'CamelDaprTopic')）し、信頼できるプロデューサーのみがサブスクライブしているDapr Pub/Subトピックに発行可能となるように制限してください。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 6.5 (警告) [その他]
| |
| 影響を受けるシステム | |
|
| |
Apache Software Foundation | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Apache Software Foundation Openwall | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/07/06 |
| 登録日 | 2026/07/10 |
| 最終更新日 | 2026/07/10 |
