CVE-2026-95664 in Apache Camel AWS2-s3

Injection di espressioni nella componente AWS2-s3 di Camel consente accesso a credenziali e variabili di sistema.

CVE-2026-95664 è un'injection nel componente AWS2-s3 di Apache Camel. Una route che consuma da S3 e produce a un altro bucket valuta il nome oggetto come espressione Simple se contiene ${ o $simple{. Un attaccante che carica file con nomi manipolati può eseguire espressioni nel processo Camel. Le espressioni accedono a proprietà di sistema, variabili d'ambiente, configurazione (spesso con credenziali) e, con camel-bean, possono invocare metodi su bean nel registry.

Con CVSS 5,4 (medium), la vulnerabilità è valutata di gravità media perché l'attaccante deve avere diritti di scrittura su un bucket consumato. Tuttavia, le implicazioni sono significative: la falla estrae credenziali da variabili d'ambiente e configurazione. Patch disponibile dal 26 ottobre 2026 (NVD), con reproducer pubblico su GitHub il 29 ottobre per Camel Spring Boot e Quarkus, segnalando interesse nella comunità.

Gli amministratori devono verificare se Camel 4.8.0+ e aws2-s3 sono in uso. Sulle versioni supportate (4.18.x, 4.22.x, 4.23.0+) pianificare aggiornamenti: 4.18.5, 4.22.2, 4.23.0+. Se l'upgrade non è immediato: rimuovere l'header CamelAwsS3Key con removeHeader() prima del producer, oppure rifiutare gli scambi contenenti ${ o $simple{. Limitare la scrittura ai bucket consumati solo a principali fidati.

In sintesi

Cosa: Expression Language Injection nel componente AWS2-s3 di Apache Camel. Una route che consuma oggetti da S3 e li produce a un altro bucket valuta il nome dell'oggetto come espressione Simple se contiene ${ o $simple{. Un attaccante che può caricare file in un bucket può eseguire espressioni nel processo Camel.
Gravità: CVSS 5,4 (medium). L'impatto è limitato dalla necessità di poter caricare oggetti nel bucket consumato. Tuttavia, le espressioni possono accedere a proprietà di sistema, variabili d'ambiente e invocare metodi su bean (se camel-bean è in classpath), potenzialmente rivelando credenziali.
Versioni interessate: Versioni da 4.8.0 (fino a prima della 4.18.5) e da 4.19.0 (fino a prima della 4.22.2). Versioni 4.8.x, 4.17.x, 4.19.x, 4.21.x hanno raggiunto fine vita e non riceveranno patch.
Correzione: Aggiornare a versione 4.23.0 (o 4.22.2 per chi è su 4.22.x, o 4.18.5 per chi è su 4.18.x). Dopo l'aggiornamento, i nomi forniti tramite header CamelAwsS3Key vengono utilizzati letteralmente. Le route che valutavano Simple expressions nell'header devono valutarli esplicitamente con setHeader e simple().
Stato: Segnalato il 26 ottobre 2026. Reproducer pubblico disponibile su GitHub a partire dal 29 ottobre 2026. Patch immediatamente disponibile per versioni supportate. End-of-life per versioni 4.8.x-4.17.x e 4.19.x-4.21.x.
Azione: Verificare se Camel e il componente aws2-s3 sono in uso. Se sì: identificare versioni in produzione e testare la patch. Se upgrade non è immediato: rimuovere l'header CamelAwsS3Key prima del producer con removeHeader(), oppure rifiutare gli scambi che contengono ${ o $simple{. Limitare l'accesso in scrittura ai bucket consumati solo a principali fidati.

Fonti: NVD, CVE-2026-95664

← Tutti gli articoli