CVE-2026-46585

Apache Camel Lucene Komponentində düzgün olmayan giriş validasiyası, istifadəçi tərəfindən idarə olunan açar vasitəsilə avtorizasiyadan yan keçmə zəifliyi. camel-lucene prodüseri axtarış ifadəsini Exchange başlığından (LuceneConstants.HEADER_QUERY) oxuyur, onun dəyəri sadə QUERY sətri idi (və HEADER_RETURN_LUCENE_DOCS üçün RETURN_LUCENE_DOCS). Bu adlar Camel / camel prefiksi ilə başlamadığı üçün, HTTP sərhədində yalnız Camel başlıq ad məkanını bloklayan HttpHeaderFilterStrategy onların daxil olan HTTP sorğusundan birbaşa Exchange-ə keçməsinə icazə verdi. Lucene sorğu əməliyyatını HTTP consumer arxasında (məsələn platform-http) ifşa edən marşrutda istənilən HTTP klient buna görə QUERY başlığını təyin edə və onun dəyərini tam mətn indeksinə qarşı icra etdirə, marşrutun icra etmək istədiyi sorğunu üstələyə bilərdi. İndeksləşdirilənlərdən asılı olaraq, bu, sorğunun giriş əldə etməməli olduğu sənədləri oxumağa imkan verir (məsələn, hamıya uyğun sorğu bütün indeksi qaytarır və ya marşrutun nəzərdə tutulan istifadəçi üzrə filtri əvəz edilə bilər) və bahalı müntəzəm ifadə sorğuları əhəmiyyətli CPU sərf edə bilər. HTTP consumer autentifikasiyasız olduqda etimadnamə tələb olunmur. Bu problem Apache Camel-ə təsir edir: 4.0.0-dan 4.14.8-dən əvvəl, 4.15.0-dan 4.18.3-dən əvvəl, 4.19.0-dan 4.21.0-dan əvvəl. İstifadəçilərə problemi düzəldən 4.21.0 versiyasına yüksəltmə tövsiyə olunur. İstifadəçilər 4.14.x LTS buraxılış axınındadırsa, 4.14.8-ə yüksəltmələri təklif olunur. İstifadəçilər 4.18.x buraxılış axınındadırsa, 4.18.3-ə yüksəltmələri təklif olunur. Yüksəltmədən sonra sorğunu xam başlıq adı vasitəsilə təyin edən marşrutlar QUERY / RETURN_LUCENE_DOCS əvəzinə CamelLuceneQuery (və CamelLuceneReturnLuceneDocs) istifadə etməlidir. Dərhal yüksəldə bilməyən yerləşdirmələr üçün Lucene prodüserindən əvvəl hücumçu tərəfindən idarə oluna bilən başlıqları silin və sorğunu etibarlı mənbədən təyin edin (məsələn, removeHeader('QUERY') və removeHeader('RETURN_LUCENE_DOCS') çağırın, sonra marşrutun əvvəlində setHeader('QUERY', constant(...)) təyin edin).