PT-2025-11083 · Apache · Apache Camel
Mark Thorson
+1
·
Publicado
2025-03-12
·
Atualizado
2026-06-04
·
CVE-2025-29891
CVSS v3.1
4.8
Média
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L |
Apache Camel e Versões Afetadas
Versões do Apache Camel 3.10.0 a 3.22.4
Versões do Apache Camel 4.8.0 a 4.8.6
Versões do Apache Camel 4.10.0 a 4.10.3
Descrição
O Apache Camel está suscetível a uma falha de bypass/injeção decorrente de seu filtro de cabeçalho de entrada padrão. Isso permite que atacantes injetem cabeçalhos específicos do Camel, potencialmente alterando o comportamento de componentes como camel-bean ou camel-exec. A exploração é possível quando aplicações Camel estão conectadas diretamente à internet via HTTP, permitindo que atacantes incluam parâmetros maliciosos em solicitações HTTP que são convertidos em cabeçalhos. A vulnerabilidade afeta vários componentes HTTP do Camel, incluindo camel-servlet, camel-jetty, camel-undertow, camel-platform-http e camel-netty-http. O problema está relacionado ao CVE-2025-27636, com o entendimento atual estendendo a explorabilidade para parâmetros HTTP além de cabeçalhos. A exploração requer o uso de componentes vulneráveis dentro da rota do Camel. A Palo Alto Networks relatou o bloqueio de aproximadamente 126.000 tentativas de exploração em março. O componente
camel-undertow é particularmente vulnerável devido à sua estratégia de filtro de cabeçalho personalizada, que filtra apenas a direção "out" (saída), deixando a direção "in" (entrada) aberta à injeção.Recomendações
Atualize para a versão 3.22.4 para as versões 3.x.
Atualize para a versão 4.8.6 para as versões 4.8.x.
Atualize para a versão 4.10.3 para as versões 4.10.x LTS.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Camel