CVE-2026-33453

Apache Camel Camel-Coap komponentində dinamik olaraq təyin edilən obyekt atributlarının düzgün idarə olunmayan dəyişdirilməsi zəifliyi. Apache Camel-in camel-coap komponenti Camel mesaj başlığına (header) inyeksiya zəifliyinə malikdir ki, bu da marşrutlar CoAP sorğularını başlıqlara həssas istehsalçılara (məsələn, camel-exec) yönləndirdikdə uzaqdan kodun icrasına səbəb olur. camel-coap komponenti daxil olan CoAP sorğu URI sorğu parametrlərini heç bir HeaderFilterStrategy tətbiq etmədən birbaşa Camel Exchange In mesaj başlıqlarına köçürür. Xüsusilə, CamelCoapResource.handleRequest() funksiyası OptionSet.getUriQuery() üzrə dövr edir və hər bir sorğu parametri üçün camelExchange.getIn().setHeader(...) çağırır. CoAPEndpoint DefaultHeaderFilterStrategyEndpoint yerinə DefaultEndpoint sinfindən törəmişdir və CoAPComponent HeaderFilterStrategyComponent interfeysini reallaşdırmamışdır; komponentdə HeaderFilterStrategy ilə bağlı heç bir istinad yoxdur. Nəticə etibarilə, coap:// ünvanından məlumat qəbul edən Camel marşrutuna tək bir CoAP UDP paketi göndərə bilən autentifikasiya olunmamış hücumçu, Exchange-ə ixtiyari Camel daxili başlıqlarını (Camel* prefiksi ilə başlayanlar) inyeksiya edə bilər. Marşrut mesajı camel-exec, camel-sql, camel-bean, camel-file və ya şablon komponentləri (camel-freemarker, camel-velocity) kimi başlıqlara həssas istehsalçıya çatdırdıqda, inyeksiya edilmiş başlıqlar istehsalçının davranışını dəyişə bilər. camel-exec halında, CamelExecCommandExecutable və CamelExecCommandArgs başlıqları son nöqtədə (endpoint) konfiqurasiya edilmiş icra faylını və arqumentləri əvəz edərək, Camel prosesinin imtiyazları altında ixtiyari ƏS əmrinin icrasına gətirib çıxarır. İstehsalçının çıxışı yenidən Exchange gövdəsinə yazılır və CamelCoapResource tərəfindən CoAP cavab yükündə geri qaytarılır ki, bu da hücumçuya kənar kanallarla məlumat sızdırmağa ehtiyac qalmadan interaktiv RCE kanalı təmin edir. Ekspluatasiya üçün tələblər minimumdur: CoAP portuna (defolt 5683) göndərilən tək bir autentifikasiya olunmamış UDP dataqramı. CoAP (RFC 7252) daxili autentifikasiyaya malik deyil, DTLS isə opsionaldır və defolt olaraq söndürülmüşdür. Protokol UDP əsaslı olduğu üçün HTTP səviyyəli WAF/IDS nəzarətləri tətbiq edilmir. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.14.0-dan 4.14.5-ə qədər, 4.18.0-dan 4.18.1-ə qədər və 4.19.0. İstifadəçilərə problemi aradan qaldıran 4.18.1 və ya 4.19.0 versiyasına yüksəltmə etmək tövsiyə olunur.