CVE-2026-83531

Apache Camel üzerinde Hatalı Kod Üretim Kontrolü ('Code Injection') ve Bir İfade Dili Deyimi içinde kullanılan Özel Öğelerin Hatalı Etkisizleştirilmesi ('Expression Language Injection') zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.4.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. 4.4.0 sürümünde tanıtılan dynamic-router-control uç noktası, yönlendirme katılımcılarının kontrol mesajları göndererek Dynamic Router aboneliklerini yönetmelerine olanak tanır. Bir abone olma veya güncelleme isteği işlendiğinde, DynamicRouterControlProducer, gelen mesajdan abonelik yüklemini (predicate) ve bunu derlemek için kullanılan dilin adını alır; bu bilgiler ya bir DynamicRouterControlMessage gövdesinin predicate ve expressionLanguage alanlarından ya da CamelDynamicRouterPredicate ve CamelDynamicRouterExpressionLanguage başlıklarından alınır. Ardından DynamicRouterControlService, bu dili CamelContext üzerinden çözer ve herhangi bir izin listesi (allow-list) veya onay mekanizması olmaksızın ifadeyi bir Predicate olarak derler. Derlenen yüklem, kanalın kural tabanına eklenir ve abonelik mevcut olduğu sürece ilgili dynamic-router uç noktası üzerinden yönlendirilen her değişim (exchange) için değerlendirilir. Diğer JVM'lerdeki veya uygulamalardaki yönlendirme katılımcıları için bileşen dokümantasyonunda gösterildiği gibi, harici bir taşıyıcıdan kontrol uç noktasına mesajları ileten bir rota, söz konusu taşıyıcı üzerinden mesaj gönderebilen herhangi bir aktörün kendi seçtiği bir ifadeyi sağlamasına izin verir ve bu ifade Camel işleminin ayrıcalıklarıyla değerlendirilir. Her zaman mevcut olan ve başlık yolunda varsayılan olan simple language dahil olmak üzere, classpath üzerinde bulunan herhangi bir ifade dili seçilebilir; dolayısıyla isteğe bağlı ifade dillerinin classpath'den kaldırılması sorunu önlemez. İstismar edilmesi için, rotasının bir dynamic-router-control uç noktasına ilettiği bir taşıyıcı üzerinden mesaj gönderme yeteneği gereklidir; başka bir kimlik doğrulama veya kullanıcı etkileşimi gerekmez. 4.4.0 öncesindeki sürümler etkilenmemiştir çünkü bunların kontrol kanalı, yüklem ifadelerini yalnızca rota yazarı tarafından yapılandırılan uç nokta URI'sinden almaktaydı. Kullanıcıların sorunu gideren 4.23.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.22.x yayın akışındaysa, 4.22.1 sürümüne yükseltmeleri tavsiye edilir. Eğer kullanıcılar 4.18.x yayın akışındaysa, 4.18.5 sürümüne yükseltmeleri tavsiye edilir. 4.14.x yayın akışı ve daha eski sürümler, bu sorun çözülmeden önce ömürlerini tamamladığı (end of life) için düzeltme almayacaktır; bu nedenle bu hatlardaki dağıtımlar desteklenen bir sürüme geçirilmelidir. Yükseltme işleminden sonra, dynamic-router-control uç noktasında yeni allowPredicateFromMessage seçeneği etkinleştirilmediği sürece, bir yüklem ifadesi veya bir ifade dili taşıyan kontrol mesajı reddedilir; bu seçeneği yalnızca tüm kontrol mesajı göndericilerine güvenildiğinde etkinleştirin. Hemen yükseltme yapamayan dağıtımlar için, güvenilmeyen veya paylaşılan taşıyıcılardan dynamic-router-control uç noktasına mesaj iletmeyin. Kontrol mesajlarının böyle bir taşıyıcıyı geçmesi gerektiği durumlarda, göndericiyi kimlik doğrulayın ve her aboneliğin yüklemi ile ifade dilinin gelen mesajdan alınmak yerine rota tarafından ayarlandığından emin olun; örneğin, uç noktaya ulaşmadan önce CamelDynamicRouterPredicate ve CamelDynamicRouterExpressionLanguage başlıklarını kaldırarak ve bir DynamicRouterControlMessage'ın predicate ve expressionLanguage alanlarını temizleyerek bunu sağlayabilirsiniz. İsteğe bağlı ifade dillerinin classpath'den kaldırılması yeterli bir geçici çözüm değildir. Derinlemesine savunma olarak, kontrol uç noktasını besleyen taşıyıcılara kimlerin gönderebileceğini kısıtlayın ve 4.23.0 ile 4.22.1 sürümlerinde, bir aboneliğin destinationUri'sinin hangi uç noktaları belirtebileceğini sınırlamak için dynamic-router uç noktasının allowedSchemes seçeneğini ayarlayın.