JVNDB-2026-023427

Apache Software FoundationのApache Camelにおける入力確認に関する脆弱性

Apache CamelのAWS SNSコンポーネントにおける不適切な入力検証の脆弱性について説明します。camel-aws2-snsコンポーネントは、コンポーネント固有のHeaderFilterStrategyであるSns2HeaderFilterStrategyを通じてCamelヘッダーをフィルタリングします。兄弟コンポーネントであるSqs2HeaderFilterStrategyと同様に、当初は送信方向のフィルター（setOutFilterPattern）のみが設定されており、Camel*、breadcrumbId、およびorg.apache.camel.*ヘッダーの出力をブロックしていましたが、受信方向のフィルター規則は設定されていませんでした。関連するcamel-aws2-sqsコンポーネントでは、この受信方向の隙間が悪用可能であり、Sqs2Consumerが受信したSQSメッセージ属性をHeaderFilterStrategy.applyFilterToExternalHeadersを介してCamel Exchangeにマッピングするため、メッセージ送信者がCamelの制御ヘッダーを注入できます（CVE-2026-46456として追跡されています）。これに対し、camel-aws2-snsはプロデューサー専用であり、Sns2Endpointはコンシューマーをサポートしません（createConsumerはUnsupportedOperationExceptionをスローし、「このエンドポイントからメッセージを受信することはできません」と示します）。そのため、外部から供給されたメッセージ属性がSNS経由でCamel Exchangeに受信方向でマッピングされることはなく、Sns2HeaderFilterStrategyに受信方向フィルター規則が欠如していても攻撃者が到達することはできませんでした。同じ修正（CAMEL-23506）の一環として、Sns2HeaderFilterStrategyに受信方向のフィルター規則（Camel名前空間のsetInFilterStartsWith）が追加され、Sqs2HeaderFilterStrategyやその他の類似戦略と設定が一致するようになりました。これは防御層強化の一環であり、camel-aws2-snsにおいて既知の悪用経路は存在しません。この問題はApache Camelの以下のバージョンに影響します：4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満です。camel-aws2-snsはプロデューサー専用で既知の悪用経路がないため、この防御層強化の変更は緊急の対応や回避策を必要としません。設定を合わせたいユーザーは、変更を含むバージョン4.21.0、または4.14.xのLTSリリースストリームでは4.14.8、4.18.xリリースストリームでは4.18.3にアップグレードしてください。一般的なベストプラクティスとして、オペレーターはSNSトピックに対して最小権限のIAM権限を適用し続けるべきです。

Apache Software Foundation

• Apache Camel 4.0.0 以上 4.14.8 未満
• Apache Camel 4.15.0 以上 4.18.3 未満
• Apache Camel 4.19.0 以上 4.21.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-56140 - Apache Camel

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-56140

1. National Vulnerability Database (NVD) : CVE-2026-56140

• [2026年07月13日]
    掲載