Apache Camel'de 39 açık birden kapatıldı, bir kısmı uzaktan kod çalıştırmaya izin veriyor

Apache Software Foundation, 19 Ekim’de entegrasyon çatısı Apache Camel’deki 39 açık için CVE kaydı yayımladı. Camel, kurumların farklı sistemleri, uygulamaları ve veri kaynaklarını birbirine bağlamak için kullandığı açık kaynaklı bir Java çatısı. Sistemler arasında mesaj ve dosya taşıyan arka plan uygulamalarında, pek çok sektörde kullanılıyor. Camel ayrıca Spring Boot ve Quarkus uyumlu sürümleriyle pek çok kurumsal ürünün içinde de bulunuyor.

Apache’nin kendi değerlendirmesine göre açıklardan 14’ü yüksek, 25’i orta önemde. Açıkların neredeyse tamamı 4.0.0’dan itibaren bütün 4.x sürümlerini etkiliyor, düzeltmeler 4.18.5, 4.22.1 ve 4.23.0 sürümlerinde. Camel yüzden fazla bileşenden oluşuyor ve açıkların büyük kısmı yalnızca belirli bir bileşen kullanıldığında ortaya çıkıyor. Yani bir kurumun etkilenip etkilenmediği, hangi Camel bileşenlerini kullandığına bağlı.

Öne çıkan açıklar

Kod çalıştırmaya varabilen açıklar. Birkaç açık, dışarıdan gelen verinin denetimsiz biçimde Java nesnesine çevrilmesinden kaynaklanıyor. Bu, Java dünyasında uzaktan kod çalıştırmaya götürebilen bilinen bir hata türü.

• CVE-2026-88900 (JGroups bileşeni, CVSS 8.8). Bileşen, varsayılan ayarlarla küme mesajlarını şifresiz ve kimlik doğrulaması olmadan alıyor. Kümenin ağına ulaşabilen biri, hazırladığı bir mesajla Camel sürecinde kod çalıştırabiliyor.
• CVE-2026-78165 (Spring Redis bileşeni, CVSS 8.8). Redis’ten okunan veri filtre uygulanmadan Java nesnesine çevriliyor. Açık 2.11.0’dan beri bulunuyor.
• CVE-2026-78162 (Hazelcast bileşeni). Daha önce CVE-2026-43865 ile kapatılan bir açığın düzeltmesi, bileşenin iki yapılandırma yoluna ulaşmamış. Hazelcast kümesine veri yazabilen bir saldırgan, kendi seçtiği bir Java nesnesini işletebiliyor. Bu açık CVE kaydında CVSS 4.0 ile 10 puan alıyor, ancak Apache kendi sayfasında açığı orta önemde gösteriyor. Aradaki fark, saldırganın önce kurumun iç ağındaki kümeye erişmesi gerekmesinden kaynaklanıyor olabilir.

XML dış varlık açıkları. Smooks (CVE-2026-88901) ve XPath (CVE-2026-85250) bileşenlerinde, gelen XML’deki dış varlık tanımları çözülüyor. Bu, sunucudaki yerel dosyaların okunmasına ya da iç ağdaki sistemlere istek gönderilmesine yol açabiliyor.

Kimlik doğrulama ve erişim atlatmaları. OAuth bileşeni (CVE-2026-80312), kimlik doğrulama yapılamadığında isteği durdurmak yerine işlemeye devam ediyordu. Netty HTTP bileşeni (CVE-2026-80343), erişim kısıtlamalarını büyük-küçük harfe duyarlı kontrol ettiği için farklı yazılmış bir adresle atlatılabiliyordu.

Kimlik bilgisi sızıntıları. HTTP bileşeni (CVE-2026-85251), yönlendirme izlenirken yetki bilgisini yönlendirilen başka bir sunucuya da gönderiyordu. AS2 bileşenindeki açık (CVE-2026-80344) ise karşı tarafın verdiği adrese istek gönderilmesine ve kimlik bilgilerinin sızmasına izin veren bir SSRF.

Bunların yanında FTP, SFTP, SMB ve Azure Files bileşenlerinde, uzak sunucunun bildirdiği dosya adının denetlenmeden kullanılmasından kaynaklanan dört yüksek önemde açık var. Kötü niyetli ya da ele geçirilmiş bir sunucu, bu yolla izlenen klasörün dışındaki dosyalar üzerinde işlem yapılmasına yol açabiliyor.

Etkilenen sürümler

• Apache Camel 4.0.0 ile 4.18.5 öncesi
• Apache Camel 4.19.0 ile 4.22.1 öncesi

Bazı açıklar daha sonraki sürümlerde eklenen bileşenleri etkilediği için başlangıç sürümü farklı. Spring Redis açığı ise 2.11.0’dan beri var. Her açığın etkilediği sürüm aralığı Apache’nin güvenlik sayfasında ayrı ayrı yer alıyor.

Önerilen önlemler

Camel kullanan ekiplerin 4.18.5, 4.22.1 ya da 4.23.0 sürümüne geçmesi gerekiyor. Camel’i doğrudan değil de başka bir ürünün içinde kullanan kurumlar, o ürünün üreticisinin güncellemesini beklemek zorunda olabilir. Bir uygulamanın hangi Camel sürümünü ve bileşenlerini içerdiğini bilmek için yazılım malzeme listesi (SBOM) işe yarıyor. Camel, 4.0.3’ten bu yana her sürümle birlikte bu listeyi yayımlıyor.

Hemen güncelleme yapamayanlar için birkaç ara önlem var: JGroups ve Hazelcast kümelerinin yalnızca güvenilir sunuculara açık olduğundan ve kimlik doğrulama kullandığından emin olmak, JVM düzeyinde bir Java nesne filtresi tanımlamak ve kullanılmayan Camel bileşenlerini uygulamadan çıkarmak. Açıklar saldırılarda kullanılmıyor, ama ayrıntılı açıklamalar yayımlandığı için bunun değişmesi uzun sürmeyebilir.