Apache Camel camel-as2: Server-Side Request Forgery über asynchrone MDN-Adresse
Zusammenfassung
Die Komponente camel-as2 von Apache Camel verwendet die vom AS2-Absender gelieferte Zustellungsadresse für asynchrone Message Disposition Notifications (MDN) ohne Einschränkung. Ein entfernter Geschäftspartner kann den Receiver dadurch veranlassen, sich mit beliebigen Hosts zu verbinden, auch mit internen Systemen, die aus dem Internet nicht erreichbar sind. Sind MDN-Zugangsdaten konfiguriert, werden diese an den vom Angreifer gewählten Host übermittelt und können offengelegt werden. Für den Angriff genügt die Fähigkeit, AS2-Nachrichten an den Receiver zu senden.
Betroffen
- Apache Camel 4.0.0 bis vor 4.18.5
- Apache Camel 4.19.0 bis vor 4.22.1
- Camel 4.14.x (End of Life, nicht behoben; auf 4.18.5 oder neuer migrieren)
Behoben in
- Apache Camel 4.18.5 (4.18.x-Stream)
- Apache Camel 4.22.1 (4.22.x-Stream)
- Apache Camel 4.23.0
Umgehung
- Falls ein sofortiges Update nicht möglich ist, den ausgehenden Verkehr des AS2-Receivers auf die Partner-Endpunkte beschränken, die legitimerweise MDNs erhalten.
- MDN-Zugangsdaten nicht für andere Hosts als diese Partner gültig halten bzw. nicht verwenden, die für andere Hosts gelten.
- Die Option asyncMdnAllowedHosts nach dem Update konfigurieren; das Verhalten bei fehlender Konfiguration sollte vor einem Vertrauen darauf geprüft werden.
Ausnutzung
- CISA SSVC (Vulnrichment): Exploitation none, automatable yes, technical impact partial.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Katalog wurde nicht geprüft.
- Ein öffentlicher Proof-of-Concept-Reproducer soll existieren.
Unsere Empfehlung
- Camel-Versionen und Nutzung von camel-as2 inventarisieren, einschliesslich Spring-Boot-, Quarkus- und Red-Hat-Fuse-Builds.
- Je nach Stream auf 4.18.5, 4.22.1 oder 4.23.0 aktualisieren.
- Ausgehenden Verkehr des AS2-Receivers auf bekannte Partner-Endpunkte beschränken und für andere Hosts gültige Zugangsdaten entfernen.
- Prüfen, ob der AS2-Endpunkt aus dem Internet erreichbar ist, und Logs auf ungewöhnliche MDN-Ziele untersuchen.
- Zusammen mit CVE-2026-85296 (camel-as2, Signatur der Empfangsbestätigungen) patchen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
oscerd/CVE-2026-80344
Quellen der Recherche
- Apache Camel security advisory CVE-2026-80344 camel.apache.org
- Pull Request #25637 (fix on main) github.com
- Pull Request #25763 (camel-4.22.x backport) github.com
- Pull Request #25764 (camel-4.18.x backport) github.com
- CAMEL-24417 Jira issue issues.apache.org
- Apache Camel security advisories 4.23.0 blog camel.apache.org
- OpenCVE entry CVE-2026-80344 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.