CVE-2026-49098

Apache Camel Kafka Komponentində düzgün olmayan giriş validasiyası, aşağı axın komponenti tərəfindən istifadə olunan çıxışda xüsusi elementlərin düzgün neytrallaşdırılmaması ('İnyeksiya') zəifliyi. camel-kafka prodüseri işləmə zamanı konfiqurasiya edilmiş hədəf mövzusunu kafka.OVERRIDE_TOPIC Exchange başlığından ləğv edə bilər: KafkaProducer.evaluateTopic() endpoint-də konfiqurasiya edilmiş mövzuya üstünlük verərək başlıq dəyərini qaytarır. KafkaConstants-dakı idarəetmə başlığı sabitləri (məsələn OVERRIDE_TOPIC = kafka.OVERRIDE_TOPIC, OVERRIDE_TIMESTAMP = kafka.OVERRIDE_TIMESTAMP, PARTITION_KEY = kafka.PARTITION_KEY) Camel prefiksi olmayan sadə dəyərlərdən istifadə edirdi. camel-kafka-nın öz KafkaHeaderFilterStrategy-si kafka.* adlar fəzasını filtrləyir, lakin yalnız Kafka-dan Exchange-ə seriyalaşdırma sərhədində (Kafka qeyd başlıqlarının Exchange-ə oxunması və Exchange başlıqlarının Kafka qeydinə yazılması); çoxkomponentli marşrutda yuxarı axın istehlakçısından gələn başlıqlara tətbiq olunmur. Yuxarı axın HTTP istehlakçısı yalnız Camel / camel adlar fəzasını bloklayan HttpHeaderFilterStrategy-dən istifadə edir, buna görə kafka.* başlığı filtrsiz keçir. Nəticədə, HTTP istehlakçısını (məsələn platform-http) kafka: prodüserinə birləşdirən marşrutda istənilən HTTP müştərisi kafka.OVERRIDE_TOPIC başlığını təyin edə və mesajın konfiqurasiya edilmiş mövzu əvəzinə ixtiyari Kafka mövzusuna yayımlanmasına səbəb ola bilərdi - onu həssas daxili mövzuya yönləndirməklə və ya hücumçu tərəfindən hazırlanmış mesajları kritik aşağı axın xidməti tərəfindən istehlak olunan mövzuya inyeksiya etməklə. Əlaqəli kafka.OVERRIDE_TIMESTAMP və kafka.PARTITION_KEY başlıqları da eyni şəkildə mesajların tarixini geriyə dəyişmək və ya xüsusi bölmələri hədəfləmək üçün inyeksiya edilə bilərdi. Birləşdirici istehlakçı autentifikasiya olunmadıqda etimadnamə tələb olunmur. Bu problem Apache Camel-ə təsir edir: 4.0.0-dan 4.14.8-dən əvvəl, 4.15.0-dan 4.18.3-dən əvvəl, 4.19.0-dan 4.21.0-dan əvvəl. İstifadəçilərə problemi həll edən 4.21.0 versiyasına yüksəltmə tövsiyə olunur. İstifadəçilər 4.14.x LTS buraxılış axınındadırsa, 4.14.8-ə yüksəltmələri tövsiyə olunur. İstifadəçilər 4.18.x buraxılış axınındadırsa, 4.18.3-ə yüksəltmələri tövsiyə olunur. Yüksəltmədən sonra Kafka başlıqlarını xam başlıq adları vasitəsilə təyin edən və ya oxuyan marşrutlar köhnə kafka.* dəyərləri əvəzinə CamelKafka* adlarından (məsələn CamelKafkaOverrideTopic və CamelKafkaTopic) istifadə etməlidir. Dərhal yüksəltə bilməyən yerləşdirmələr üçün kafka: prodüserindən əvvəl istənilən etibarsız girişdən kafka.* başlıqlarını çıxarın (məsələn marşrutun əvvəlində removeHeaders('kafka.*')), və hədəf mövzunu etibarlı mənbədən təyin edin.