CVE-2025-29891

Apache Camel üzerinde Atlatma/Enjeksiyon zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.10.0 ile 4.10.2 arası, 4.8.0 ile 4.8.5 arası ve 3.10.0 ile 3.22.4 arası. Kullanıcıların 4.10.x LTS için 4.10.2 sürümüne, 4.8.x LTS için 4.8.5 sürümüne ve 3.x sürümleri için 3.22.4 sürümüne yükseltme yapmaları önerilir. Bu zafiyet, Camel'ın varsayılan gelen başlık filtresinde mevcuttur; bu durum bir saldırganın, bazı Camel bileşenleri (camel-bean veya camel-exec gibi) için davranışları değiştirebilen Camel'a özgü başlıklar eklemesine olanak tanır. HTTP üzerinden doğrudan internete bağlı Camel uygulamalarınız varsa, bir saldırgan Camel uygulamasına gönderilen HTTP isteklerine başlıklara dönüştürülen parametreler ekleyebilir. Başlıklar, hem bir HTTP metot çağrısı için istek parametreleri olarak hem de HTTP metot çağrısının yükünün (payload) bir parçası olarak sağlanabilir. camel-servlet, camel-jetty, camel-undertow, camel-platform-http ve camel-netty-http gibi bilinen tüm Camel HTTP bileşenleri varsayılan haliyle savunmasızdır. Bu CVE, CVE-2025-27636 ile ilişkilidir: aynı kök nedene sahip olmalarına ve aynı düzeltmeyle giderilmelerine rağmen, CVE-2025-27636'nın yalnızca bir saldırgan kötü amaçlı HTTP başlıkları ekleyebilirse istismar edilebileceği varsayılmıştı; ancak şimdi bunun HTTP parametreleri aracılığıyla da istismar edilebildiği belirlenmiştir. CVE-2025-27636'da olduğu gibi, istismar yalnızca Camel rotasının belirli savunmasız bileşenleri kullanması durumunda mümkündür.