„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-46456 betrifft die Apache Camel AWS2-SQS Komponente und wird als kritisch eingestuft (CVSS 9.8). Eine unzureichende Input-Validierung ermöglicht es Angreifern, beliebige Camel-interne Steuer-Header in Amazon SQS-Nachrichten einzuschleusen. Diese Header können das Verhalten nachgelagerter Producer beeinflussen und zu nicht autorisierten Operationen führen.
Betroffene Systeme
Apache Camel in folgenden Versionen:
- 4.0.0 bis vor 4.14.8
- 4.15.0 bis vor 4.18.3
- 4.19.0 bis vor 4.21.0
Speziell betroffen ist die camel-aws2-sqs Komponente und deren HeaderFilterStrategy-Implementierung.
Technische Details
Die Sqs2HeaderFilterStrategy-Klasse implementierte nur einen ausgehenden Filter (setOutFilterPattern), der Camel*-Header vom Schreiben zur Broker blockierte. Ein eingehender Filter fehlte jedoch vollständig. Dadurch kopierte der Sqs2Consumer alle SQS MessageAttributes ungefilter in das Camel Exchange, inklusive kritischer Steuer-Header wie CamelHttpUri, CamelFileName oder CamelSqlQuery.
Ein Angreifer mit sqs:SendMessage-Berechtigung – beispielsweise ein Cross-Account-Sender oder eine privilegierte Komponente – kann diese Headers manipulieren und beispielsweise:
- HTTP-Producer auf bösartige URIs umleiten
- Dateinamen bei Datei-Operationen verändern
- SQL-Queries überschreiben
Die injizierten Header persistieren über Direct-, SEDA- und VM-Hops hinweg.
Empfohlene Massnahmen
Sofort:
- Upgrade auf Version 4.21.0, 4.18.3 oder 4.14.8
- Alternativ: removeHeaders(‚Camel*‘) und removeHeaders(‚camel*‘) am Routenanfang implementieren
- IAM-Policies mit least-privilege Prinzipien für sqs:SendMessage einschränken
Bewertung
Die kritische Einstufung ist gerechtfertigt. Die Vulnerability ermöglicht Remote Code Execution durch Header-Injection bei niedrigen Voraussetzungen. Das Risiko ist besonders hoch in Szenarien mit untrusted Message-Quellen oder Cross-Account-Konfigurationen.
„`