Apache Camel: Injektion von Property-Platzhaltern über HTTP-URI-Override-Header

Zusammenfassung

HTTP-Producer von Apache Camel (camel-http, camel-netty-http, camel-undertow, camel-vertx-http) lösen Property-Platzhalter in den Message-Headern CamelHttpUri und CamelRestHttpUri auf. Ein nicht authentifizierter Absender, der diese Header setzen kann, kann bewirken, dass Umgebungsvariablen, System-Properties und Vault-Geheimnisse über den ausgehenden Request offengelegt werden und Methoden ohne Parameter auf Registry-Beans aufgerufen werden. Gefährdet sind nur Anwendungen, die einen HTTP-Consumer für nicht vertrauenswürdige Absender bereitstellen oder solche Header von vorgelagerten Systemen akzeptieren.

Betroffen

• Apache Camel 4.0.0 bis vor 4.18.5
• Apache Camel 4.19.0 bis vor 4.22.1
• Das Advisory gibt an, dass das Verhalten älter als die 4.x-Linie ist; Releases vor 4.15.0 sind ebenfalls als betroffen zu behandeln, sie sind End of Life.

Behoben in

• Apache Camel 4.23.0
• Apache Camel 4.22.1 (4.22.x-Linie)
• Apache Camel 4.18.5 (4.18.x-Linie)

Umgehung

• Override-Header vor dem Producer entfernen: removeHeader CamelHttpUri und removeHeader CamelRestHttpUri.
• Bei camel-http-Endpunkten skipControlHeaders=true setzen.
• bridgeEndpoint=true ist keine Gegenmassnahme. Prozentkodierung der Platzhalter-Trennzeichen ist für camel-netty-http keine Gegenmassnahme.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Prüfen, ob Eigenentwicklungen oder Herstellerprodukte mit Apache Camel im Einsatz sind, und deren Camel-Version ermitteln.
• Auf 4.23.0, 4.22.1 oder 4.18.5 aktualisieren, je nach Release-Linie; auf eine unterstützte Version wechseln, falls 4.14.x oder älter eingesetzt wird.
• Bis zur Aktualisierung die Override-Header an der Vertrauensgrenze entfernen oder skipControlHeaders=true setzen.
• Ein strenges eingehendes HeaderFilterStrategy anwenden und Geheimnisse in einem Vault statt in Umgebungsvariablen oder System-Properties ablegen.
• Eingehenden HTTP-Verkehr auf ungewöhnliche Verwendung des Headers CamelHttpUri überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  oscerd/CVE-2026-78164

Quellen der Recherche

• Apache Camel security advisory CVE-2026-78164 camel.apache.org
• Fix on main (PR 25571) github.com
• Fix commit main github.com
• Backport commit 4.22.x github.com
• Backport commit 4.18.x github.com
• Jira CAMEL-24418 issues.apache.org
• Apache Camel security advisories 4.23.0 camel.apache.org
• OSV CVE-2026-78164 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:51.