【活用ガイド】

JVNDB-2026-023135

Apache Software FoundationのApache Camelにおける複数の脆弱性

概要

Apache Camel Luceneコンポーネントにおける、不適切な入力検証およびユーザー制御キーを介した認可バイパスの脆弱性です。camel-luceneプロデューサはExchangeヘッダー（LuceneConstants.HEADER_QUERY）から検索フレーズを読み取りますが、その値はプレーン文字列のQUERY（およびHEADER_RETURN_LUCENE_DOCSに対してはRETURN_LUCENE_DOCS）です。これらの名前はCamel / camelプレフィックスで始まらないため、HTTP境界でCamelヘッダ名前空間のみをブロックするHttpHeaderFilterStrategyは、これらをインバウンドHTTPリクエストからそのままExchangeに通過させてしまいます。HTTPコンシューマー（例えばplatform-http）の背後にLuceneクエリ操作を公開するルートでは、任意のHTTPクライアントがQUERYヘッダーを設定し、その値で全文検索インデックスに対してクエリを実行でき、ルートが実行しようとしていたクエリを上書き可能です。インデックスされている内容によっては、リクエストがアクセスすべきでないドキュメントの読み取り（例：すべてにマッチするクエリが全インデックスを返す、またはルートが意図するユーザーごとのフィルターが置き換えられる）や、高価な正規表現クエリによる大幅なCPUリソース消費を引き起こします。HTTPコンシューマーが認証されていない場合、資格情報は不要です。本脆弱性はApache Camelのバージョン4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満に影響します。ユーザーは本問題を修正した4.21.0へのアップグレードを推奨します。4.14.x LTS系リリースを利用している場合は4.14.8へのアップグレードを、4.18.xリリース系では4.18.3へのアップグレードを推奨します。アップグレード後、QUERY / RETURN_LUCENE_DOCSの生のヘッダー名でクエリを設定しているルートは、代わりにCamelLuceneQuery（およびCamelLuceneReturnLuceneDocs）を使用する必要があります。すぐにアップグレードできない環境では、Luceneプロデューサの前で攻撃者が制御可能なヘッダーを除去し、信頼できるソースからクエリを設定してください（例：ルートの開始時にremoveHeader('QUERY')とremoveHeader('RETURN_LUCENE_DOCS')を実行した後、setHeader('QUERY', constant(...))を設定すること）。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.5 (重要) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


Apache Software Foundation
  • Apache Camel 4.0.0 以上 4.14.8 未満
  • Apache Camel 4.15.0 以上 4.18.3 未満
  • Apache Camel 4.19.0 以上 4.21.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。
想定される影響

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。
対策

ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

Apache Software Foundation Openwall
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不適切な入力確認(CWE-20) [その他]
  2. ユーザ制御の鍵による認証回避(CWE-639) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2026-46585
参考情報

  1. National Vulnerability Database (NVD) : CVE-2026-46585
更新履歴

  • [2026年07月10日]
      掲載

公表日2026/07/06
登録日2026/07/10
最終更新日2026/07/10