CVE-2026-71569: SSRF in Apache Camel A2A Webhook

Il CVE-2026-71569 è una vulnerabilità di Server-Side Request Forgery (SSRF) nel componente Apache Camel A2A (WebhookUrlValidator). Consente a un attaccante di registrare una configurazione webhook con URL risolvente in IPv6 fc00::/7, bypassando il controllo che rifiuta indirizzi loopback e locali. Il componente invia una richiesta HTTPS verso quell'indirizzo con header di autenticazione forniti.

Il CVSS è 4,8 (Medium) perché lo sfruttamento richiede condizioni specifiche: hostname risolvente in fc00::/7, servizio HTTPS in ascolto, TLS handshake riuscito. Le versioni corrette sono 4.22.2 (per serie 4.22.x) e 4.23.0 (corrente). La serie 4.21.x ha raggiunto fine vita e non riceverà patch. Un repository pubblico su GitHub ha depositato reproducer il medesimo giorno della disclosure, confermando la riproducibilità.

Per le versioni vulnerabili prima di 4.22.2, l'upgrade a una versione patched (4.22.2 o 4.23.0) è la soluzione principale. Se l'upgrade immediato non è possibile, implementare autenticazione davanti al path di configurazione A2A in modo che l'URL webhook non provenga da caller non attendibili, negare l'egress di rete dalla Camel process verso gli indirizzi fc00::/7, e considerare l'avvio della JVM con il flag -Djava.net.preferIPv4Stack=true se l'ambiente non richiede IPv6.

La radice della vulnerabilità risiede in una mancanza di coerenza nei controlli: WebhookUrlValidator effettuava due diverse classificazioni dello stesso indirizzo a seconda di come era scritto (come IP literal o come nome risolto), utilizzando liste di prefissi per gli IP literal ma predicati InetAddress per i nomi risolti. I predicati isSiteLocalAddress e simili non coprono la gamma fc00::/7 che il controllo intendeva bloccare, e il JDK non fornisce un predicato nativo per essa. Questo gap logico è stato corretto nelle versioni patched unificando la logica di classificazione.