Apache Camel è un framework di integrazione open-source utilizzato per instradare ed elaborare messaggi. Fornisce una varietà di componenti per facilitare diverse integrazioni, tra cui il componente camel-exec che consente l’esecuzione di comandi. Tutti i componenti HTTP noti di Camel, come camel-servlet, camel-jetty, camel-undertow, camel-platform-http e camel-netty-http, sono vulnerabili di default. Recentemente sono state scoperte vulnerabilità di sicurezza in più versioni di Apache Camel, che potrebbero esporre le applicazioni ad attacchi di esecuzione di codice da remoto (RCE). Le organizzazioni che utilizzano versioni vulnerabili devono agire immediatamente per mitigare questi rischi.

Riassunto tecnico

Sono state identificate due vulnerabilità critiche nel componente Exec di Apache Camel:

CVE-2025-27636: Bypass dei filtri tramite intestazioni case-insensitive

Apache Camel filtra alcune intestazioni per prevenire l’esecuzione non autorizzata di comandi. Tuttavia, a causa di una gestione impropria della sensibilità al maiuscolo/minuscolo, un attaccante può bypassare queste restrizioni inviando intestazioni con diverse combinazioni di maiuscole e minuscole (es. CAmelExecCommandExecutable). Ciò consente loro di sovrascrivere i comandi statici predefiniti ed eseguire comandi di sistema arbitrari.

Esempio di sfruttamento:

Un attaccante può sovrascrivere l’esecuzione del comando statico utilizzando una richiesta appositamente creata:

curl "http://target-site.com/vulnerable" --header "CAmelExecCommandExecutable: ls"

Il server eseguirà ls invece del comando previsto.

CVE-2025-29891: Iniezione di parametri nella query

Una vulnerabilità separata ma correlata consente agli attaccanti di inserire comandi di esecuzione tramite parametri nella query, aggirando i meccanismi di filtraggio previsti. Specificando il parametro CAmelExecCommandExecutable, un attaccante può iniettare comandi arbitrari nel flusso di esecuzione.

Esempio di sfruttamento:

curl "http://target-site.com/vulnerable?CAmelExecCommandExecutable=ls"

Questo comporta l’esecuzione arbitraria di comandi nel backend, esponendo il sistema a gravi rischi di sicurezza.

Raccomandazioni

Per mitigare queste vulnerabilità, gli utenti interessati dovrebbero:

1. Aggiornare Apache Camel: Assicurarsi che l’installazione sia aggiornata alla versione 4.10.2 per 4.10.x LTS, 4.8.5 per 4.8.x LTS o 3.22.4 per i rilasci 3.x.
2. Implementare regole WAF (Web Application Firewall): Bloccare intestazioni e parametri query sospetti relativi a CamelExecCommandExecutable.
3. Limitare i permessi di esecuzione: Consentire la capacità di eseguire comandi solo laddove strettamente necessario.
4. Monitorare log e allarmi: Ispezionare regolarmente i log per rilevare pattern insoliti di esecuzione comandi e impostare allarmi per tentativi di sfruttamento potenziali.