CVE-2026-80344

Apache Camel AS2 bileşeninde Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. AS2 protokolünde, bir mesajın göndericisi, Mesaj Düzenleme Bildirimi'nin (Message Disposition Notification - MDN) kendisi tarafından sağlanan bir adrese asenkron olarak döndürülmesini talep edebilir. camel-as2 bu adresi gelen mesajdan almış ve dağıtım yapılandırmasıyla herhangi bir kısıtlama olmaksızın giden makbuz için hedef olarak kullanmıştır. Bu durum, uzak bir ortağın, Camel örneğinin MDN teslim ederken bağlanacağı ana bilgisayarı seçmesine olanak tanır. Bu durum, yalnızca dağıtım ağının içinden erişilebilir olan ana bilgisayarlara ulaşmak da dahil olmak üzere, AS2 alıcısı konumunda sunucu taraflı istek sahteciliğine yol açar; ayrıca giden bağlantı MDN teslimatı için yapılandırılmış kimlik bilgileri taşıyorsa, bu kimlik bilgileri saldırgan tarafından seçilen hedefe sunulur. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne, 4.22.x LTS yayın akışındaki kullanıcılar ise 4.22.1 sürümüne yükseltmelidir. Asenkron MDN hedefi artık gelen mesajdan olduğu gibi alınmak yerine kısıtlanmaktadır. Hemen yükseltme yapamayan dağıtımlar için, AS2 alıcısının dışa doğru bağlantısını yalnızca meşru olarak makbuz teslim ettiği ortak uç noktalarıyla sınırlandırın ve MDN teslimatına bu ortaklar dışındaki herhangi bir ana bilgisayar için geçerli olan kimlik bilgilerini eklemeyin.