Apache Camel 中近期披露的一個安全漏洞（編號為 CVE - 2025 - 27636），已引發整個網絡安全社區的高度警惕。該漏洞允許攻擊者向 Camel Exec 組件配置注入任意標頭，進而有可能實現遠程代碼執行（RCE）。

受此漏洞影響的版本眾多，涵蓋 3.10.0 至 3.22.3、4.8.0 至 4.8.4 以及 4.10.0 至 4.10.1 等多個版本。此次漏洞充分凸顯了 Apache Camel 中配置錯誤的標頭過濾所帶來的巨大危險。Apache Camel 作為一款廣泛應用的集成框架，其主要作用是連接各類系統和應用程序。

安全專家強烈敦促正在使用易受攻擊版本的組織，立即對其系統進行修補，以此降低風險。根據 Github 的報告，該漏洞的根源在于 Camel 框架對標頭的處理出現錯誤，尤其是在標頭命名大小寫發生變化的情況下。利用這一漏洞，攻擊者能夠繞過過濾器，覆蓋 Camel 配置中指定的靜態命令。

概念驗證（PoC）

一個存在漏洞的示例應用程序，能夠演示如何利用 Camel Exec 組件實現遠程代碼執行。以下是存在漏洞的代碼示例：

在此場景中，應用程序對外公開了一個執行 “whoami” 命令的 HTTP 端點。雖然該命令在代碼中是靜態定義的，但攻擊者可以通過特制的標頭對其進行覆蓋。

漏洞利用細節

該漏洞的工作原理是向易受攻擊的端點發送惡意標頭。例如：

$ curl “http://localhost:80/vulnerable” –header “CAmelExecCommandExecutable: ls”

此命令會覆蓋默認的執行行為并顯示目錄內容。同樣，攻擊者可以使用標頭 CamelExecCommandArgs 傳遞參數：

$ curl “http://localhost:80/vulnerable” –header “CAmelExecCommandExecutable：ping” –header “CAmelExecCommandArgs：-c 2 8.8.8.8”

該漏洞源于對標頭命名約定的不當處理。Camel 原本旨在過濾掉諸如 CamelExecCommandExecutable 之類的標頭，但大小寫變體 CAmelExecCommandExecutable 卻繞過了保護機制，從而允許任意命令執行。當使用常規標頭，而不利用區分大小寫的缺陷時，應用程序將按預期運行，執行靜態命令：

$ curl “http://localhost:80/vulnerable” –header “CamelExecCommandExecutable: ls”

影響與緩解

該漏洞所產生的后果極其嚴重，因為攻擊者能夠在易受攻擊的系統上執行任意命令，這可能導致敏感數據泄露、實現橫向移動，甚至造成服務中斷。Apache 已發布公告，承認了該漏洞的存在，并正在積極努力為受影響的版本發布補丁。為了防御 CVE - 2025 - 27636，建議用戶采取以下措施：

· 升級 Apache Camel：在 Apache 發布修補版本后，及時應用更新。

· 限制端點訪問：將易受攻擊的端點暴露范圍限制在受信任的網絡內。

· 監控危害指標（IoC）：在日志中留意異常的 HTTP 標頭或命令執行情況。

隨著攻擊者越來越多地將目標對準 Apache Camel 等集成框架，各組織必須高度重視安全更新，并強化訪問控制，以最大程度降低風險。此漏洞清晰地警示我們，即便是細微的缺陷，也可能給現代 IT 基礎設施帶來毀滅性的后果。

參考及來源：https://gbhackers.com/apache-camel-vulnerability/