Apache - CVE-2026-40453
Date de publication :
Il s'agit d'une vulnérabilité dans les stratégies de filtrage d'en-têtes non-HTTP d'Apache Camel (camel-jms, camel-sjms, camel-coap, camel-google-pubsub).
Apache Camel est un framework d'intégration Java fondé sur les patrons d'intégration d'entreprise. Il permet la mise en œuvre de routes de traitement de messages entre systèmes hétérogènes via des centaines de composants (JMS, HTTP, fichiers, bases de données, protocoles IoT, etc.).
Le correctif de CVE-2025-27636 n'avait appliqué l'insensibilité à la casse qu'à HttpHeaderFilterStrategy, laissant les cinq autres implémentations filtrer via un String.startsWith() sensible à la casse. Un attaquant disposant d'un accès producteur au broker JMS peut injecter des en-têtes internes Camel avec une casse variante (ex. CAmelExecCommandExecutable), qui franchissent le filtre puis sont résolus avec leur casse canonique par les composants downstream (camel-exec, camel-file).
Elle permet une exécution de commandes OS arbitraires à distance et une écriture de fichiers arbitraires dans le contexte du processus Camel.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Exécution de code arbitraire (à distance)
• Atteinte à l'intégrité des données
Exploitation
CWE-178 : Improper Handling of Case Sensitivity
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Apache Camel versions 3.0.0 jusqu'à 4.14.5 inclus
• Apache Camel versions 4.15.0 jusqu'à 4.18.1 inclus
• Apache Camel version 4.19.0
Solutions ou recommandations
• Apache Camel version 4.18.2 et supérieures (branche LTS 4.18.x)
• Apache Camel version 4.20.0 et supérieures