CVE-2026-84176

Permisywna polityka międzydomenowa z luką w zabezpieczeniach niezaufanych domen w komponencie HTTP Vertx platformy Apache Camel.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.




createCorsHandler() ustawia Access-Control-Allow-Credentials: true poza sprawdzaniem pochodzenia, więc nagłówek pojawia się przy każdej odpowiedzi na żądanie niosące nagłówek Origin, łącznie z odpowiedziami na źródła, na które program obsługi właśnie zdecydował się nie zezwalać. Gdy camel.server.cors.origins nie jest ustawiony, procedura obsługi traktuje każde źródło jako dozwolone i wyświetla z powrotem własne Origin osoby wywołującej jako Access-Control-Allow-Origin. Razem tworzą one uwierzytelnioną konfigurację dowolnego źródła, której specyfikacja fetch nie wyraża jako dosłownego symbolu wieloznacznego i właśnie dlatego odzwierciedlanie pochodzenia jest zwykłym sposobem obejścia tej reguły. Strona dowolnego źródła może zatem wysyłać uwierzytelnione żądania z różnych źródeł do punktu końcowego Camel i czytać odpowiedzi.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Poświadczenia kontroli dostępu zezwalające na dostęp są teraz wysyłane tylko wtedy, gdy źródło żądania odpowiada pochodzeniu rzeczywiście skonfigurowanemu przez operatora. Bez listy źródeł pochodzenie jest nadal odzwierciedlane, tak jak poprzednio, ale poświadczenia nie są przyznawane, a opcja Zmienne: Pochodzenie jest teraz ustawiana za każdym razem, gdy odzwierciedlane jest pochodzenie, tak że współdzielona pamięć podręczna nie może obsługiwać odpowiedzi jednego źródła na drugie. W przypadku wdrożeń, w przypadku których nie można dokonać natychmiastowej aktualizacji, ustaw plik camel.server.cors.origins na jawną listę źródeł, które wymagają dostępu, zamiast pozostawiać ją nieskonfigurowaną.