CVE-2026-33453

Apache Camel Camel-Coap bileşeninde Dinamik Olarak Belirlenen Nesne Özniteliklerinin Uygun Şekilde Kontrol Edilmeyen Değiştirilmesi zafiyeti bulunmaktadır. Apache Camel'ın camel-coap bileşeni, rotaların CoAP isteklerini başlığa duyarlı üreticilere (örneğin camel-exec) ilettiği durumlarda uzaktan kod çalıştırmaya yol açan Camel mesaj başlığı enjeksiyonuna karşı savunmasızdır. camel-coap bileşeni, gelen CoAP istek URI sorgu parametrelerini herhangi bir HeaderFilterStrategy uygulamadan doğrudan Camel Exchange In mesaj başlıklarına eşler. Özellikle, CamelCoapResource.handleRequest(), OptionSet.getUriQuery() üzerinde döngü kurar ve her sorgu parametresi için camelExchange.getIn().setHeader(...) fonksiyonunu çağırır. CoAPEndpoint, DefaultHeaderFilterStrategyEndpoint yerine DefaultEndpoint sınıfını genişletir ve CoAPComponent, HeaderFilterStrategyComponent arayüzünü uygulamaz; bileşen HeaderFilterStrategy'ye dair hiçbir referans içermez. Sonuç olarak, coap:// üzerinden tüketim yapan bir Camel rotasına tek bir CoAP UDP paketi gönderebilen kimliği doğrulanmamış bir saldırgan, Exchange içerisine rastgele Camel dahili başlıkları (Camel* ön ekiyle başlayanlar) enjekte edebilir. Rota, mesajı camel-exec, camel-sql, camel-bean, camel-file veya şablon bileşenleri (camel-freemarker, camel-velocity) gibi başlığa duyarlı bir üreticiye ilettiğinde, enjekte edilen başlıklar üreticinin davranışını değiştirebilir. camel-exec durumunda, CamelExecCommandExecutable ve CamelExecCommandArgs başlıkları, uç noktada yapılandırılan yürütülebilir dosyayı ve bağımsız değişkenleri geçersiz kılarak Camel işleminin yetkileri altında rastgele işletim sistemi komutu çalıştırılmasına neden olur. Üreticinin çıktısı tekrar Exchange gövdesine yazılır ve CamelCoapResource tarafından CoAP yanıt yükünde döndürülür; bu da saldırgana bant dışı veri sızdırma ihtiyacı olmadan etkileşimli bir RCE kanalı sağlar. İstismar ön koşulları minimumdur: CoAP portuna (varsayılan 5683) gönderilen tek bir kimlik doğrulaması yapılmamış UDP datagramı yeterlidir. CoAP (RFC 7252) yerleşik bir kimlik doğrulamaya sahip değildir ve DTLS isteğe bağlıdır ve varsayılan olarak devre dışıdır. Protokol UDP tabanlı olduğu için HTTP katmanı WAF/IDS kontrolleri geçerli olmaz. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.14.0'dan 4.14.5'e kadar olan sürümler, 4.18.1 öncesindeki 4.18.0 sürümü ve 4.19.0 sürümü. Kullanıcıların sorunu gideren 4.18.1 veya 4.19.0 sürümüne yükseltmeleri önerilir.