Apache Camel漏洞允许远程代码执行、绕过身份验证和数据窃取
原创
ZM
ZM
暗镜
2026年11月2日 06:00
北京
去阅读
Apache Camel 的安全公告记录了可能导致远程代码执行、身份验证绕过、凭据泄露和未经授权的文件访问的严重和高危漏洞。这些问题会影响各种集成组件和 Camel K，其可利用性取决于已部署的组件、路由配置以及攻击者对消息或基础设施的访问权限。
这些漏洞涉及不安全的 Java 反序列化、身份验证执行不足、不受信任的路由元数据以及 Kubernetes 配置注入。每份安全公告都描述了一个独特的风险，需要针对特定组件进行评估；它们并不代表适用于所有 Camel 部署的通用攻击。
| CVE | 严重程度 | 组成部分和影响 | 受影响的版本 |
|---|---|---|---|
| CVE-2026-80352 | 批判的 | Camel K：YAML 注入允许任意 Kubernetes 对象 | 2.0.0–<2.9.3；2.10.0–<2.10.2 |
| CVE-2026-80351 | 批判的 | Camel K：租户仓库在 Operator Pod 内达到 Maven 执行级别 | 2.0.0–<2.9.3；2.10.0–<2.10.2 |
| CVE-2026-88900 | 高的 | JGroups：不安全的集群消息反序列化允许远程代码执行 | 4.0.0–<4.18.5；4.19.0–<4.22.1 |
| CVE-2026-78165 | 高的 | Spring Redis：未过滤的有效负载反序列化会导致远程代码执行 (RCE)。 | 2.11.0–<4.18.5；4.19.0–<4.22.1 |
| CVE-2026-80312 | 高的 | OAuth：身份验证失败不会停止处理 | 4.11.0–<4.18.5；4.19.0–<4.22.1 |
| CVE-2026-78164 | 高的 | HTTP 生产者：标头覆盖会暴露配置和 Vault 密钥 | 4.0.0–<4.18.5；4.19.0–<4.22.1 |
| CVE-2026-85251 | 高的 | HTTP：重定向会泄露授权凭据 | 4.0.0–<4.18.5；4.19.0–<4.22.1 |
| CVE-2026-88901 | 高的 | Smooks：XML实体暴露文件和内部主机 | 4.7.0–<4.18.5；4.19.0–<4.22.1 |
当易受攻击的消费者处理攻击者控制的对象时，反序列化会带来直接的代码执行风险。例如，在 CVE-2026-78165 中，默认的 JdkSerializationRedisSerializer在没有 ObjectInputFilter 的情况下处理 Redis 有效负载.攻击者如果能够向已订阅的通道发布消息，就可以在 Camel 进程内执行代码。类似地，JGroups 漏洞也涉及集群消息的不安全反序列化。
身份验证失败也会造成安全漏洞。CVE-2026-80312 允许 OAuth 处理器在身份验证失败时将控制权返回给路由，而不是停止执行。因此，身份验证失败的请求仍可能继续在应用程序中运行。
无需执行代码即可窃取数据。CVE-2026-78164 会解析消息提供的端点覆盖标头中的属性占位符，从而可能在出站请求中暴露配置值和 Vault 密钥。
此外，CVE-2026-85251 在启用 followRedirects 时会将 Authorization 标头重新附加到重定向的目标，这使得远程服务器能够确定哪个主机接收凭据。
首先，识别受影响的组件，并为每个产品分支选择已修补的版本，以此作为修复的第一步。Camel K 需要单独的升级；框架修复并不能替代操作员所需的升级。
团队还应根据相关安全建议的前提条件，审查发布者权限、重定向行为和不受信任的消息头。优先考虑外部输入可能到达易受攻击的消费者、身份验证处理程序或出站 HTTP 生产者的路由
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论