Apache Camel netty-http: Umgehung der Sicherheitsprüfung durch abweichende Schreibweise
Zusammenfassung
Die Sicherheitsbeschränkung der Komponente camel-netty-http in Apache Camel vergleicht den Anfragepfad case-sensitiv, während die Weiterleitung der Anfrage dies nicht tut. Ein entfernter Angreifer, der den Consumer ohne Anmeldedaten erreichen kann, kann die Schreibweise eines Pfadsegments verändern, sodass die Beschränkung übergangen wird und trotzdem eine geschützte Route erreicht wird. Der Hersteller stuft dies mit CVSS 8.2 (hoch) ein und hält fest, dass kein vorgängiger Zugriff und keine besondere Konfiguration nötig sind.
Betroffen
- Apache Camel ab 4.0.0 bis vor 4.18.5
- Apache Camel ab 4.19.0 bis vor 4.22.1
- Apache Camel 4.14.x ist End of Life und erhält keinen Fix
Behoben in
- Apache Camel 4.23.0 (empfohlen)
- Apache Camel 4.18.5 für den LTS-Zweig 4.18.x
- Apache Camel 4.22.1 für den LTS-Zweig 4.22.x
Umgehung
- Ein Upgrade ist die einzige vollständige Behebung.
- Wenn ein Upgrade nicht sofort möglich ist, die Autorisierung vor dem Camel-Consumer platzieren, zum Beispiel in einem Reverse Proxy, der den Anfragepfad vor der Weiterleitung normalisiert (Herstellerhinweis, hier nicht getestet).
Ausnutzung
- CISA SSVC (CISA-ADP): Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Auf GitHub existiert ein öffentlicher Reproducer.
- Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Alle Camel-Anwendungen und deren camel-netty-http-Versionen inventarisieren, einschliesslich 4.14.x.
- Auf 4.23.0 aktualisieren oder auf den LTS-Zweigen auf 4.18.5 bzw. 4.22.1.
- Aus dem Internet erreichbare Systeme priorisieren.
- Prüfen, ob geschützte Routen auf die Context-Path-Beschränkung angewiesen sind.
- Die Behebung vor dem Produktivrollout in einer Testumgebung verifizieren.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
oscerd/CVE-2026-80343
Quellen der Recherche
- Apache Camel security advisory CVE-2026-80343 camel.apache.org
- CAMEL-24412 Jira ticket issues.apache.org
- Apache Camel PR 25578 (main fix) github.com
- Apache Camel PR 25761 (4.22.x backport) github.com
- Apache Camel PR 25762 (4.18.x backport) github.com
- Apache Camel security advisories for 4.23.0 camel.apache.org
- OpenCVE entry CVE-2026-80343 app.opencve.io
- Public reproducer repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.