„`html
Zusammenfassung
CVE-2026-46457 beschreibt eine Schwachstelle zur unsachgemäßen Eingabevalidierung in der Apache Camel NATS-Komponente. Die Anfälligkeit ermöglicht es Angreifern, beliebige Camel-Kontrollheader in NATS-Nachrichten einzuschleusen. Diese Header können das Verhalten nachgelagerter Producer beeinflussen und zu kritischen Sicherheitsrisiken führen. Der CVSS-Score von 7.5 klassifiziert dies als High-Severity-Schwachstelle.
Betroffene Systeme
Apache Camel-Versionen:
- 4.0.0 bis 4.14.7
- 4.15.0 bis 4.18.2
- 4.19.0 bis 4.20.x
Die Schwachstelle betrifft speziell die camel-nats Komponente in Verbindung mit NATS 2.2 oder später.
Technische Details
Die Schwachstelle entsteht durch eine unzureichende Konfiguration der DefaultHeaderFilterStrategy in der NatsConfiguration. Ohne explizit konfigurierte inFilter-, inFilterPattern- oder inFilterStartsWith-Regeln werden alle eingehenden NATS-Message-Header ohne Filterung in die Camel Exchange kopiert.
Dies ermöglicht es einem Angreifer mit Publish-Zugriff auf den konsumierten NATS-Subject, willkürlich Camel-Kontrollheader wie CamelHttpUri, CamelFileName oder CamelSqlQuery einzuschleusen. Diese Header persistieren über direkte, SEDA und VM-Hops hinweg und können das Routing-Verhalten manipulieren – beispielsweise durch Umleitung von HTTP-Requests, Änderung von Dateinamen oder Manipulation von SQL-Queries.
Die Anfälligkeit ist ohne Authentifizierung erreichbar, sofern der NATS-Server ohne Authentifizierung konfiguriert ist (Standardkonfiguration).
Empfohlene Massnahmen
- Upgrade: Apache Camel auf Version 4.21.0, 4.18.3 oder 4.14.8 aktualisieren
- Kurzfristige Mitigation: Implementierung von removeHeaders(‚Camel*‘) und removeHeaders(‚camel*‘) am Routenanfang
- Infrastruktur: NATS-Server-Authentifizierung aktivieren, um nur vertrauenswürdigen Clients Publish-Zugriff zu gewähren
- Überwachung: Netzwerk- und Anwendungslogs auf verdächtige Header-Manipulationen überwachen
Bewertung
Mit einem CVSS-Score von 7.5 und Netzwerkvektor stellt diese Schwachstelle eine erhebliche Bedrohung dar. Die fehlende Authentifizierung als Standardkonfiguration erhöht das Risiko signifikant. Ein sofortiges Patch-Management und die Implementierung von Mitigationsmaßnahmen werden dringend empfohlen.
„`