Tổng quan về lỗ hổng
Lỗ hổng cho phép kẻ tấn công tiêm các tiêu đề tùy ý, dẫn đến việc thực thi mã từ xa (RCE) thông qua thành phần Camel Exec. Lỗ hổng này ảnh hưởng đến các phiên bản Apache Camel từ 4.10.0 đến 4.10.1, 4.8.0 đến 4.8.4, và 3.10.0 đến 3.22.3.
Chi tiết khai thác
Lỗ hổng xảy ra do xử lý không đúng cách tên tiêu đề. Apache Camel dự kiến sẽ lọc các tiêu đề bắt đầu bằng “Camel,” “camel,” hoặc “org.apache.camel,” nhưng kẻ tấn công có thể vượt qua bộ lọc này bằng cách thao tác với cách viết của tên tiêu đề. Ví dụ, việc sử dụng tiêu đề như “CAmelExecCommandExecutable” có thể ghi đè lệnh tĩnh đã định nghĩa trong tuyến đường Camel, cho phép kẻ tấn công thực thi các lệnh tùy ý.
Mẫu khai thác (PoC)
Một ứng dụng mẫu dễ bị tổn thương đã được cung cấp, cho thấy một điểm cuối HTTP có thể thực thi lệnh “whoami” nhưng có thể bị khai thác để chạy các lệnh tùy ý như “ls” hoặc “ping” với các tham số. PoC cho thấy cách mà kẻ tấn công có thể vượt qua bộ lọc bằng cách sử dụng các tiêu đề với cách viết đổi khác, cho phép họ thực thi các lệnh tùy ý.
Giảm thiểu và sửa lỗi
Để giảm thiểu lỗ hổng này, người dùng được khuyến nghị nâng cấp Apache Camel lên các phiên bản 4.10.2, 4.8.5, hoặc 3.22.4, tùy thuộc vào phiên bản hiện tại của họ. Ngoài ra, các nhà phát triển có thể sử dụng EIP removeHeaders để lọc bỏ các tiêu đề độc hại trong tuyến đường Camel của họ bằng cách xóa các tiêu đề không bắt đầu bằng “Camel,” “camel,” hoặc “org.apache.camel.”
Tác động và khuyến cáo
Việc phát hành PoC này nhấn mạnh tầm quan trọng của việc giữ cho phần mềm được cập nhật và thực hiện các biện pháp bảo mật mạnh mẽ để ngăn chặn các lỗ hổng như vậy bị khai thác trong môi trường sản xuất. Người dùng được khuyến khích vá hệ thống của họ ngay lập tức để ngăn chặn các cuộc tấn công RCE tiềm ẩn và hạn chế truy cập vào điểm cuối chỉ cho các mạng tin cậy.
