CVE-2026-85316

Niewystarczająca szczegółowość luki w kontroli dostępu w komponencie HTTP platformy Apache Camel.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Komponent decydował, czy punkt końcowy działa w trybie proxy, sprawdzając, czy skonfigurowana ścieżka zaczynała się od łańcucha proxy, zamiast dokładnie dopasowywać ścieżkę. Każdy punkt końcowy, którego ścieżka zaczyna się jedynie od tych znaków – proxyStatus, proxy-config, proxying itd. – staje się zatem punktem końcowym proxy bez pytania autora trasy. Punkt końcowy proxy przekazuje żądania dalej, więc punkt końcowy, który miał obsługiwać własną zawartość, zamiast tego przekazuje ruch w imieniu tego, kto go wywołuje, co jest zarówno prymitywnym sposobem fałszowania żądań, jak i ujawnieniem wszystkiego, do czego może dotrzeć ścieżka przekazywania.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Tryb proxy jest teraz wybierany na podstawie dokładnego dopasowania ścieżki, a nie prefiksu. W przypadku wdrożeń, których nie można natychmiast uaktualnić, zmień nazwę dowolnej ścieżki punktu końcowego, która zaczyna się od proxy, ale nie ma być proxy.