CVE-2026-71300

vulnerabilità di validazione impropria dell'input nel componente Websocket Atmosphere di Apache Camel.

Questo problema riguarda Apache Camel: dalla versione 4.0.0 prima della 4.14.9, dalla versione 4.15.0 prima della 4.18.4, dalla versione 4.19.0 prima della 4.22.0.

Il producer camel-atmosphere-websocket seleziona a quali peer WebSocket connessi consegnare un messaggio tramite gli header di Exchange, e i valori stringa di tali header si trovano al di fuori dello namespace Camel: websocket.connectionKey e websocket.connectionKey.list, insieme a websocket.sendToAll, websocket.eventType e websocket.errorType. WebsocketEndpoint estende ServletEndpoint e quindi eredita HttpHeaderFilterStrategy, che filtra solo i prefissi Camel e camel; i nomi puntati quindi rientravano al di fuori dello namespace filtrato e venivano accettati in entrambe le direzioni da ogni consumer di tipo HTTP. In una route che collega un consumer HTTP a un producer atmosphere-websocket, un mittente esterno potrebbe fornire l'header della lista e prendere il controllo della decisione di dispatch del producer. WebsocketProducer.process verifica l'header della lista prima di quello a chiave singola, quindi un valore iniettato poteva scartare il destinatario scelto dalla route: una notifica destinata a un singolo client connesso poteva essere soppressa o consegnata invece a un client diverso, il cui connection key il mittente conosce. L'header non deve essere un parametro di query e non deve essere fornito come lista letterale — l'HTTP binding di Camel promuove un nome di header ripetuto e un valore tra parentesi quadre, che vengono convertiti in una List durante la mappatura su Exchange — quindi un header HTTP in entrata ordinario è sufficiente per raggiungere il ramo con valore di lista. Questo è distinto da CVE-2026-55993, che riguarda il percorso del parametro di query lato consumer nello stesso componente. Il comportamento risale all'introduzione di queste costanti, rilasciate per la prima volta in 2.17.0, e non è stato modificato fino a questa patch.

Si raccomanda agli utenti di aggiornare alla versione 4.22.0, che risolve il problema. Se gli utenti utilizzano la serie LTS 4.14.x, si consiglia di aggiornare a 4.14.9. Se invece utilizzano la serie 4.18.x, si consiglia di aggiornare a 4.18.4. Per le implementazioni che non possono aggiornare immediatamente, si consiglia di rimuovere gli header di dispatch al confine di fiducia prima del producer, ad esempio con removeHeaders("websocket.*") posizionato tra il consumer HTTP e il producer atmosphere-websocket. Si segnala che la patch rinomina i valori stringa degli header nel namespace Camel, il che rappresenta un cambiamento che può interrompere le route che li impostano tramite stringa letterale: le route che fanno riferimento ai campi di WebsocketConstants in modo simbolico non sono interessate, e la modifica è documentata nelle guide di aggiornamento. Come misura di difesa in profondità, non collegare un consumer HTTP non affidabile direttamente a un producer WebSocket il cui dispatch è gestito tramite header senza prima rimuovere lo namespace di dispatch.