JVNDB-2026-030748

Apache Software FoundationのApache Camelにおける複数の脆弱性

Apache Camel Knativeコンポーネントにおける不適切な入力検証および下流コンポーネントで使用される出力中の特殊要素の不適切な無害化（"インジェクション"）の脆弱性について説明します。camel-knativeのKnativeコンシューマは、受信したCloudEvent属性をCamelメッセージヘッダーにマッピングします。バイナリコンテンツモードでは、HTTPヘッダーのパスがKnativeHttpHeaderFilterStrategyを通じてCamel内部ヘッダーをフィルタリングしますが、構造化コンテンツモード（Content-Type: application/cloudevents+json）では、CloudEventの拡張フィールドがJSONボディから直接読み取られ、すべての拡張キーがHeaderFilterStrategyを適用せずにExchangeヘッダーにコピーされます（CloudEventProcessors、仕様バージョン1.0、1.0.1、1.0.2）。その結果、認証されていない攻撃者が構造化モードのCloudEventリクエストを介してCamel内部ヘッダー（例：CamelHttpUri、CamelHttpPath、CamelFileName）をインジェクトでき、Camelのヘッダーマップに対して大文字小文字を区別せずにマッチさせることが可能です。ルートがKnativeコンシューマからヘッダ駆動のコンポーネント（camel-httpやcamel-fileなど）にメッセージを転送する場合、インジェクトされたヘッダーが設定済みの値を上書きし、ルートに応じてサーバー側リクエストフォージェリ（SSRF）、パストラバーサル、またはメッセージディスパッチのリダイレクトを引き起こす可能性があります。これは、バイナリコンテンツモードパスに以前追加されたインバウンドヘッダーフィルタリングの不完全な修正に起因しており、camel-cxf/camel-knative（CVE-2026-47323）、camel-undertow（CVE-2025-30177）、より広範なincoming-header filter（CVE-2025-27636およびCVE-2025-29891）、非HTTPストラテジー（CVE-2026-40453）で対処されたパターンと類似しています。この問題はApache Camelの以下のバージョンに影響を及ぼします：3.15.0から4.14.9未満、4.15.0から4.18.4未満、4.19.0から4.21.0未満です。利用者には問題が修正されたバージョン4.22.0へのアップグレードを推奨します。4.18.xのLTSリリースを利用している場合は4.18.4へのアップグレード、4.14.xのLTSリリースを利用している場合は4.14.9へのアップグレードが推奨されます。非LTSリリースの4.15.0から4.17.0および4.19.0から4.21.0は影響を受けますがメンテナンス修正が提供されないため、これらのバージョンを使用している場合は4.18.4または4.22.0へのアップグレードが推奨されます。

Apache Software Foundation

• Apache Camel 3.15.0 以上 4.14.9 未満
• Apache Camel 4.15.0 以上 4.18.4 未満
• Apache Camel 4.19.0 以上 4.22.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-63621 - Apache Camel

1. 不適切な入力確認(CWE-20) [その他]
2. インジェクション(CWE-74) [その他]

1. CVE-2026-63621

1. National Vulnerability Database (NVD) : CVE-2026-63621

• [2026年08月28日]
    掲載