Modificação controlada inadequada de objetos definidos dinamicamente atribui vulnerabilidade no componente Apache Camel Camel- Coap. O componente camelo- acoplamento do Apache Camel é vulnerável à injeção de cabeçalho de mensagem do Camel, levando à execução remota de código quando as rotas encaminham solicitações de CoAP para produtores sensíveis ao cabeçalho (por exemplo, camelo- exec) O componente camelo- acoplamento mapeia os parâmetros de consulta URI de solicitação do CoAP entrante diretamente para os cabeçalhos de mensagem do Camel Exchange In sem aplicar qualquer estratégia de cabeçalhoFiltro. Especificamente, CamelCoapResource.handleRequest() itera sobre OptionSet.getUriQuery() e chama camelExchange.getIn().setHeader() para cada parâmetro de consulta. CoAPEndpoint estende o Endpoint padrão em vez de o Endpoint padrão, e o CoAPComponent não implementa o Endpoint de HeaderFilterComponent; o componente não contém referências a HeaderFilterStrategy em tudo. Como resultado, um atacante não autenticado que pode enviar um único pacote UDP CoAP para uma rota Camel consumindo de coap:// pode injetar cabeçalhos internos arbitrários Camel (os prefixos com Camel*) na troca. Quando a rota entrega a mensagem para um produtor sensível ao cabeçalho, como camelo-exec, camelo- sql, camelo- feijão, camelo- arquivo, ou componentes de modelo (cammelo- marcador livre, camelo- velocidade), os cabeçalhos injetados podem alterar o comportamento do produtor. No caso do camel-exec, os cabeçalhos CamelExecCommandExecutable e CamelExecCommandArgs sobrepõem o executável e os argumentos configurados no endpoint, resultando em execução arbitrária do comando OS sob os privilégios do processo Camel. A saída do produtor é escrita de volta ao corpo de Exchange e devolvida na carga útil de resposta CoAP pela CamelCoapResource, dando ao atacante um canal RCE interativo sem necessidade de exfiltração fora da banda. Os pré-requisitos de exploração são mínimos: um único datagrama UDP não autenticado para a porta CoAP (por omissão) 5683 ). CoAP (RFC) 7252 ) não tem nenhuma autenticação incorporada, e o DTLS é opcional e desativado por padrão. Como o protocolo é baseado em UDP, os controles WAF/IDS de camada HTTP não se aplicam. Esta questão afeta o Apache Camel: from 4.14.0 através 4.14.5, a partir de 4.18.0 antes 4.18.1, 4.19.0. Os usuários são recomendados para atualizar para a versão 4.18.1 ou 4.19.0, corrigindo o problema. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 33453 foi publicado em 2026 - 04 - 27 T 11: 16: 01.873 Z e última modificação em 2026 - 07 - 15 T 02: 20: 13.573 Z. O seu estado registrado é modificado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 10, gravidade CRÍTICA, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, pontuação de exploração 3.9, pontuação de impacto 6; CVSS.
Classificações de fraqueza associadas: CWE- 915.
Os produtos ou plataformas nomeados nos dados de aplicabilidade incluem: apache camel.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.