JVNDB-2026-030712

Apache Software FoundationのApache Camelにおける入力確認に関する脆弱性

Apache Camel Undertowコンポーネントにおける不適切な入力検証の脆弱性について説明します。この問題は、Apache Camelのバージョン4.11.0から4.14.9未満、4.15.0から4.18.4未満、4.19.0から4.22.0未満に影響を及ぼします。UndertowEndpointはheaderFilterStrategyフィールドをデフォルトでベースのHttpHeaderFilterStrategyに設定し、そのインスタンスを遅延生成されるUndertowHttpBindingに渡していました。これにより、DefaultUndertowHttpBindingのコンストラクタで設定されるUndertowHeaderFilterStrategyが上書きされていました。カスタムバインディングや明示的なheaderFilterStrategyが提供されていない限り、エンドポイントに設定されたルート上でundertow固有のフィルタリングは実行されていませんでした。戦略オブジェクトは生成されるもののすぐに置き換えられ、参照されることがありませんでした。その結果、レガシーwebsocket.＜Exchange＞-ヘッダープレフィックスはundertowトランスポート境界で双方向にフィルタリングされず、undertowのHTTPコンシューマーはその形式のインバウンドワイヤーヘッダーをExchangeにマッピングしていました。UndertowのWebSocketプロデューサーはそれらをディスパッチ指示として読み取り、ルートが選択したピアとは異なるピアへ配信される可能性がありました。また、undertow自身が受け入れないヘッダー名もスキップされずにExchangeにマッピングされていました。Rest DSLコンシューマーには影響がありませんでした。なぜなら、UndertowComponentは明示的にUndertowRestHeaderFilterStrategyを割り当てており、これはundertow戦略を拡張しているためです。本件はCVE-2025-30177のリグレッションではありません。ベースのHttpHeaderFilterStrategyはインバウンドのCamelプレフィックスフィルターを自身で構成しているため、該当勧告による保護は基本クラスを通じて引き続き機能していました。今回の変更で起きたのは、undertow戦略がエンドポイントパス上で孤立し、その結果undertowが拒否するヘッダー名をスキップする機能やレガシーwebsocket.プレフィックスを双方向でフィルタリングする機能という2つの修正が、エンドポイントが使用しないクラスに適用され、リリースしたバージョンでは効果を持たなかったということです。ユーザーには、本問題を修正したバージョン4.22.0へのアップグレードを推奨します。4.14.xのLTSリリース系列を利用している場合は4.14.9へ、4.18.xリリース系列の場合は4.18.4へのアップグレードを推奨します。すぐにアップグレードできない展開環境では、デフォルトに頼らず戦略を明示的に設定してください。例えば、UndertowHeaderFilterStrategyをレジストリにバインドし、エンドポイントを「undertow:http://0.0.0.0:8080/foo?headerFilterStrategy=#myStrategy」のように設定します。加えて、信頼境界でremoveHeaders("websocket.*")を使いディスパッチヘッダーを除去してください。なお、アップグレードしても残る制限があります。undertowコンポーネントはwebsocket.値を外部に公開されるAPI契約の一部として意図的に保持しており、UndertowProducerはこれらをin.getHeaderで読み取るため、HeaderFilterStrategyを参照しません。したがって、復旧したフィルタリングはundertowトランスポート境界での多層防御として機能します。非undertowコンシューマーからの信頼できないメッセージをundertowプロデューサーに渡すルートは本修正の保護対象外であり、当該ルート側でそれらのヘッダーを自ら除去する必要があります。

Apache Software Foundation

• Apache Camel 4.11.0 以上 4.14.9 未満
• Apache Camel 4.15.0 以上 4.18.4 未満
• Apache Camel 4.19.0 以上 4.22.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-78329 - Apache Camel

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-78329

1. National Vulnerability Database (NVD) : CVE-2026-78329

• [2026年08月28日]
    掲載