CVE-2026-80344

Apache Camel AS2 komponentində Server-Side Request Forgery (SSRF) zəifliyi aşkar edilmişdir. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.0.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər olan versiyalar. AS2 protokolunda mesaj göndərəni Mesajın Təyinat Bildirişinin (Message Disposition Notification - MDN) göndərən tərəf tərəfindən təmin edilən ünvana asinxron şəkildə qaytarılmasını tələb edə bilər. camel-as2 həmin ünvanı daxil olan mesajdan götürür və onu tətbiqin konfiqurasiyasındakı məhdudiyyətləri nəzərə almadan çıxan qəbz üçün təyinat nöqtəsi kimi istifadə edirdi. Buna görə də uzaq tərəfdaş, Camel instansiyasının MDN çatdırarkən qoşulacağı hostu seçə bildiyi üçün AS2 qəbulçusu mövqeyindən server-side request forgery mümkün olurdu. Bura yalnız tətbiqin daxili şəbəkəsindən marşrutlaşdırıla bilən hostlara çatmaq daxildir və əgər çıxan bağlantıda MDN çatdırılması üçün konfiqurasiya edilmiş etibarnamələr varsa, həmin etibarnamələr hücumkeş tərəfindən seçilmiş təyinat nöqtəsinə təqdim olunurdu. Problemi aradan qaldıran Apache Camel 4.23.0 versiyasına yeniləyin. 4.18.x LTS versiyalarını istifadə edən istifadəçilər 4.18.5 versiyasına, 4.22.x LTS versiyalarını istifadə edən istifadəçilər isə 4.22.1 versiyasına yeniləməlidir. Artıq asinxron MDN təyinatı daxil olan mesajdan olduğu kimi götürülmür, müəyyən məhdudiyyətlərə tabedir. Dərhal yenilənməsi mümkün olmayan sistemlər üçün AS2 qəbulçusunun çıxan bağlantısını yalnız qəbzlərin çatdırıldığı legitim tərəfdaş son nöqtələri ilə məhdudlaşdırın və MDN çatdırılmasına həmin tərəfdaşlardan başqa hər hansı host üçün keçərli olan etibarnamələr əlavə etməyin.