Średni Oczekuje na analizę

CVE-2026-71569

opublikowano: 29.10.2026, 12:17

modyfikacja: 29.10.2026, 15:17

Ocena CVSS

4.8

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Luka w zabezpieczeniach polegająca na fałszowaniu żądań po stronie serwera (SSRF) w komponencie Apache Camel A2A.

Ten problem dotyczy Apache Camel: od 4.21.0 do 4.22.2.

WebhookUrlValidator sklasyfikował hosta webhooka z powiadomieniami push w dwóch miejscach, które nie były ze sobą zgodne. Host zapisany jako literał IP został porównany z listą prefiksów łańcuchowych, które określały unikalny zakres lokalny IPv6 fc00::/7, natomiast host, do którego można dotrzeć poprzez nazwę, został rozpoznany, a wynikowy adres sklasyfikowany za pomocą predykatów InetAddress isLoopbackAddress, isAnyLocalAddress, isLinkLocalAddress i isSiteLocalAddress. Te predykaty nie obejmują tego samego obszaru, co lista prefiksów: isSiteLocalAddress zgłasza przestarzały blok fec0::/10, a nie unikalne adresy lokalne fc00::/7, które go zastąpiły, a JDK w ogóle nie zawiera dla nich predykatów. Dlatego ten sam adres został zaakceptowany lub odrzucony w zależności od sposobu jego zapisania, a adres URL webhooka, którego nazwa hosta została zmieniona na fc00::/7, przeszedł przez strażnika, który odrzucił identyczny adres podany w formie dosłownej. Następnie PushNotificationDispatcher wysłał powiadomienie push na ten adres wraz z dowolnym nagłówkiem autoryzacji znajdującym się w tej samej konfiguracji, którego schemat i dane uwierzytelniające dostarcza rejestrujący się obiekt wywołujący. Adres URL elementu webhook przychodzi jako TaskPushNotificationConfig.url od obiektu wywołującego rejestrującego powiadomienie wypychane, więc jest kontrolowany przez osobę atakującą, a parametrallowLocalWebhookUrls ma domyślnie wartość false, czyli jest to konfiguracja, w której oczekuje się, że strażnik będzie utrzymywał. Odpowiedź nie jest przekazywana z powrotem do osoby wywołującej, która zarejestrowała konfigurację, więc w wyniku luki powstaje ślepe wychodzące żądanie HTTPS z procesu Camel na adres wewnętrzny, który strażnik miał odmówić; dotarcie do usługi w ten sposób dodatkowo wymaga, aby nazwa została rozwiązana na fc00::/7 w środowisku docelowym, aby usługa HTTPS nasłuchiwała na tym adresie i aby uzgadnianie TLS dla żądanej nazwy powiodło się, dlatego ważność jest oceniana jako średnia. Ta sama wstępna kontrola ciągu wykazała błąd także w drugą stronę: dopasowała surowy ciąg hosta bez uprzedniego ustalenia, czy host jest literałem IP, więc każda nazwa zaczynająca się od fc lub fd, taka jak fcm.googleapis.com, była natychmiast odrzucana.

Użytkownikom zaleca się aktualizację do wersji 4.23.0, która rozwiązuje problem. Jeśli użytkownicy korzystają ze strumienia wydań 4.22.x, sugeruje się im aktualizację do wersji 4.22.2. Wersja 4.21.x dobiegła końca przed rozwiązaniem tego problemu i nie otrzyma poprawki, więc wdrożenia w tej wersji muszą zostać przeniesione do obsługiwanej wersji. Zarówno literał, jak i rozwiązana ścieżka klasyfikują teraz adres na podstawie jego nieprzetworzonych bajtów za pomocą jednego współdzielonego klasyfikatora, który rozpoznaje fc00::/7 i współdzieloną przestrzeń adresową 100.64.0.0/10, a także adresy zgodne z IPv4, NAT64 (64:ff9b::/96) i 6to4 (2002::/16), których osadzony adres IPv4 nie jest rutowany globalnie. W przypadku wdrożeń, których nie można uaktualnić natychmiast, umieść uwierzytelnianie przed ścieżką konfiguracji powiadomień wypychanych A2A, aby adres URL elementu webhook nie pochodził od niezaufanego obiektu wywołującego, i odmów wyjścia z procesu Camel do fc00::/7 na poziomie sieci; gdzie wdrożenie nie wymaga protokołu IPv6, uruchomienie maszyny JVM z opcją -Djava.net.preferIPv4Stack=true usuwa klasę adresu, którą włącza luka. Należy pamiętać, że parametrallowLocalWebhookUrls=false jest już wartością domyślną i sam w sobie nie zamyka luki.

Server-Side Request Forgery (SSRF) vulnerability in Apache Camel A2A component.

This issue affects Apache Camel: from 4.21.0 before 4.22.2.

WebhookUrlValidator classified a push notification webhook host in two places that did not agree. A host written as an IP literal was matched against a list of string prefixes that named the IPv6 unique local range fc00::/7, while a host reached through a name was resolved and the resulting address classified with the InetAddress predicates isLoopbackAddress, isAnyLocalAddress, isLinkLocalAddress and isSiteLocalAddress. Those predicates do not cover the same ground as the prefix list: isSiteLocalAddress reports the deprecated fec0::/10 block and not the fc00::/7 unique local addresses that replaced it, and the JDK carries no predicate for them at all. The same address was therefore accepted or rejected depending on how it was written, and a webhook URL whose host name resolved into fc00::/7 passed a guard that refused the identical address given as a literal. PushNotificationDispatcher then sent the push notification to that address, together with any Authorization header carried in the same configuration, whose scheme and credentials the registering caller supplies. The webhook URL arrives as TaskPushNotificationConfig.url from the caller registering the push notification, so it is attacker-controlled, and allowLocalWebhookUrls is false by default, which is the configuration in which the guard is expected to hold. The response is not relayed back to the caller who registered the configuration, so what the gap yields is a blind outbound HTTPS request from the Camel process to an internal address the guard was written to refuse; reaching a service that way additionally requires that the name resolve into fc00::/7 in the target environment, that an HTTPS service be listening on that address, and that the TLS handshake succeed for the name being requested, which is why the severity is assessed medium. The same string pre-check was also wrong in the other direction: it matched the raw host string without first establishing that the host was an IP literal, so any name merely beginning with fc or fd, such as fcm.googleapis.com, was refused outright.

Users are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.2. The 4.21.x release line reached end of life before this issue was resolved and will not receive a fix, so deployments on it must move to a supported release. Both the literal and the resolved path now classify the address from its raw bytes with one shared classifier, which recognises fc00::/7 and the shared address space 100.64.0.0/10, as well as IPv4-compatible, NAT64 (64:ff9b::/96) and 6to4 (2002::/16) addresses whose embedded IPv4 address is not globally routable. For deployments that cannot upgrade immediately, place authentication in front of the A2A push notification configuration path so that the webhook URL does not arrive from an untrusted caller, and deny egress from the Camel process to fc00::/7 at the network level; where the deployment has no need of IPv6, starting the JVM with -Djava.net.preferIPv4Stack=true removes the address class the gap turns on. Note that allowLocalWebhookUrls=false is already the default and does not by itself close the gap.

>_ Słabości (CWE)

CWE-918

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve