Apache Camel-Elasticsearch-Rest-Client: Exchange header constants without the Camel prefix bypass inbound HTTP header filtering, allowing untrusted clients to override the Elasticsearch query and operation

Beschreibung

Unsachgemäße Eingabevalidierung, Autorisierungsumgehung durch benutzergesteuerte Schlüsselanfälligkeit im Apache Camel ElasticSearch Rest Client. Die Kamel-elasticsearch-rest-Client-Komponente liest mehrere Exchange-Header, um ihr Verhalten zu steuern - SEARCH QUERY (ein erweiterter Abfragekörper), OPERATION (welche Elasticsearch-Operation ausgeführt wird), INDEX NAME, INDEX SETTINGS und ID. Die String-Werte dieser Header-Konstanten, die in ElasticSearchRestClientConstant definiert sind, sind einfach unpräfixierte Namen ("SEARCH QUERY", "OPERATION", "INDEX NAME", "INDEX SETTINGS", "ID") und nicht die "Camel"-präfixierten Namen, die von jeder anderen Camel-Komponente verwendet werden (z. B. CamelSqlQuery, CamelMongoDbCriteria, CamelCqlQuery). Camels eingehender HTTP-Headerfilter, HttpHeaderFilterStrategy, blockiert nur Headernamen, die mit 'Camel' oder 'camel' beginnen. Da die Elasticsearch-Headernamen dieses Präfix nicht tragen, durchlaufen sie unverändert den eingehenden Filter. Wenn eine Camel-Route einen HTTP-Einstiegspunkt (z. B. platform-http) vor einem elastischen Such-Rest-Client-Produzenten freigibt, kann ein nicht vertrauenswürdiger HTTP-Client diese Header direkt auf seine Anforderung setzen und die Abfrage und den Vorgang, den der Routenautor konfiguriert hat, außer Kraft setzen: Lesen jedes Dokuments im Index (SEARCH QUERY mit einer match all-Abfrage), Löschen von Dokumenten (OPERATION auf Löschen zusammen mit ID) oder Ausfiltern ausgewählter Felder. Es sind keine Anmeldeinformationen erforderlich und der Produzent liest die Header bedingungslos. Dieses Problem betrifft Apache Camel: von 4.3.0 vor 4.14.8, von 4.15.0 vor 4.18.3, von 4.19.0 vor 4.21.0. Benutzern wird empfohlen, auf Version 4.21.0 zu aktualisieren, wodurch das Problem behoben wird. Wenn Benutzer auf dem 4.14.x LTS-Releases-Stream sind, wird empfohlen, auf 4.14.8 zu aktualisieren. Wenn Benutzer auf dem 4.18.x-Releases-Stream sind, wird empfohlen, auf 4.18.3 zu aktualisieren. Der Fix benennt die camel-elasticsearch-rest-client Exchange Header konstante Zeichenfolgenwerte (ID, SEARCH QUERY, INDEX SETTINGS, INDEX NAME, OPERATION) um, um das Camel-Präfix (CamelElasticsearchId, CamelElasticsearchSearchQuery, CamelElasticsearchIndexSettings, CamelElasticsearchIndexName, CamelElasticsearchOperation) so zu tragen, dass sie durch die eingehende HttpHeaderFilterStrategy blockiert werden; die Java-Feldnamen sind unverändert. Bei Bereitstellungen, die nicht sofort aktualisiert werden können, entfernen Sie die betroffenen Header von nicht vertrauenswürdigen eingehenden Nachrichten, bevor sie den Produzenten erreichen (z. B. removeHeader('SEARCH QUERY'), removeHeader('OPERATION'), removeHeader('INDEX NAME'), removeHeader('INDEX SETTINGS') und removeHeader('ID') vor dem elastischen Search-rest-Client-Endpunkt), oder wenden Sie eine benutzerdefinierte HeaderFilterStrategy an, die diese Namen blockiert.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 4.14.8, 4.18.3, 4.21.0.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation org.apache.camel:camel-elasticsearch-rest-client.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.