Apache Camelのセキュリティアドバイザリには、リモートコード実行、認証バイパス、認証情報の漏えい、不正なファイルアクセスにつながる恐れのある、重大度「クリティカル」および「高」の脆弱性が掲載されています。
Securityflaw patching
これらの問題はさまざまなインテグレーションコンポーネントとCamel Kに影響します。悪用できるかどうかは、導入しているコンポーネント、ルートの構成、そして攻撃者がメッセージやインフラにアクセスできるかどうかによって変わります。
脆弱性の内容は、安全でないJavaデシリアライゼーション、不十分な認証の強制、信頼できないルーティングメタデータ、Kubernetes設定へのインジェクションなどです。
各アドバイザリはそれぞれ異なる脅威を示しており、コンポーネントごとの評価が必要です。すべてのCamel環境に当てはまる共通の攻撃ではありません。
Apache Camelの脆弱性
以下の表は、重大度がクリティカルまたは高のアドバイザリのうち、主なものをまとめたものです。バージョン範囲は、下限を含み上限を含まない形式で示しています。重大度のラベルはApacheのセキュリティガイドラインに従っています。
| CVE | 重大度 | コンポーネントと影響 | 影響を受けるバージョン |
|---|---|---|---|
| CVE-2026-80352 | クリティカル | Camel K: YAMLインジェクションにより任意のKubernetesオブジェクトの作成が可能 | 2.0.0–<2.9.3、2.10.0–<2.10.2 |
| CVE-2026-80351 | クリティカル | Camel K: テナントのリポジトリからオペレーターPod内でMavenが実行される | 2.0.0–<2.9.3、2.10.0–<2.10.2 |
| CVE-2026-88900 | 高 | JGroups: クラスターメッセージの安全でないデシリアライゼーションによりRCEが可能 | 4.0.0–<4.18.5、4.19.0–<4.22.1 |
| CVE-2026-78165 | 高 | Spring Redis: ペイロードをフィルタリングせずにデシリアライズするためRCEが可能 | 2.11.0–<4.18.5、4.19.0–<4.22.1 |
| CVE-2026-80312 | 高 | OAuth: 認証に失敗しても処理が停止しない | 4.11.0–<4.18.5、4.19.0–<4.22.1 |
| CVE-2026-78164 | 高 | HTTPプロデューサー: ヘッダーによる上書きで設定値やVaultのシークレットが露出 | 4.0.0–<4.18.5、4.19.0–<4.22.1 |
| CVE-2026-85251 | 高 | HTTP: リダイレクト時にAuthorizationの認証情報が漏えい | 4.0.0–<4.18.5、4.19.0–<4.22.1 |
| CVE-2026-88901 | 高 | Smooks: XMLエンティティによりファイルや内部ホストが露出 | 4.7.0–<4.18.5、4.19.0–<4.22.1 |
脆弱なコンシューマーが攻撃者の制御するオブジェクトを処理すると、デシリアライゼーションは直接的なコード実行のリスクとなります。たとえばCVE-2026-78165では、デフォルトの`JdkSerializationRedisSerializer`が、`ObjectInputFilter`を使わずにRedisのペイロードを処理します。
Vulnerabilityassessment tool
購読中のチャネルにメッセージを発行できる攻撃者は、Camelプロセス内でコードを実行できる可能性があります。JGroupsの脆弱性も同様に、クラスターメッセージの安全でないデシリアライゼーションが原因です。
認証の不備も脆弱性を生みます。CVE-2026-80312では、認証に失敗した場合、OAuthプロセッサーが実行を停止せず、制御をルートに戻してしまいます。その結果、認証に失敗したリクエストでも、アプリケーション内の処理が進む恐れがあります。
コードを実行しなくても、データは盗まれる可能性があります。CVE-2026-78164では、メッセージで指定されたエンドポイント上書き用ヘッダー内のプロパティプレースホルダーが解決されます。このため、設定値やVaultのシークレットが送信リクエストに含まれて露出する恐れがあります。
さらにCVE-2026-85251では、`followRedirects`が有効な場合、リダイレクト先にAuthorizationヘッダーが再び付与されます。これにより、リモートのサーバーが認証情報の送信先ホストを決められるようになります。
対策はまず、影響を受けるコンポーネントを特定し、製品ブランチごとに修正版のリリースを選ぶことから始めてください。Camel Kには専用のアップグレードが必要です。フレームワーク側の修正は、オペレーターに必要な修正の代わりにはなりません。
あわせて、各アドバイザリに記載された前提条件に沿って、発行者の権限、リダイレクトの挙動、信頼できないメッセージヘッダーを見直すことも必要です。外部からの入力が、脆弱なコンシューマー、認証プロセッサー、外向きのHTTPプロデューサーに到達し得るルートを優先してください。
MTTRを21分短縮し、サイバー脅威を被害が出る前に阻止します。ANYRUNのSandboxをSOCに統合。
AuditSecurity
翻訳元: https://gbhackers.com/apache-camel-vulnerabilities/
