CVE-2026-71569

Apache Camel: Camel-A2A Push Notification Webhook Guard Accepts IPv6 Unique Local Addresses Reached Through a Host Name

CVSS 3.1Medium

4.8/ 10.0

Опубликовано

29 октября 2026 г.

Обновлено

29 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.22.2

Обновите Apache Camel до версии 4.22.2 или выше (уязвимы версии с 4.21.0 до 4.22.2).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход ограничений SSRF в WebhookUrlValidator компонента Apache Camel A2A для IPv6-диапазона ULA через доменные имена.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Рассинхронизация логики валидации WebhookUrlValidator: прямые IP-литералы сверялись с префиксом fc00::/7, а разрешенные через DNS адреса проверялись предикатами InetAddress (isSiteLocalAddress проверяет устаревший fec0::/10 и пропускает fc00::/7).

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Обход механизма защиты вебхуков push-уведомлений и реализация SSRF во внутренние сети с IPv6 Unique Local Addresses (ULA).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Apache Software FoundationApache Camel

>= 4.21.0➔Fix: 4.22.2

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

camel.apache.orghttps://camel.apache.org/security/CVE-2026-71569.html
issues.apache.orghttps://issues.apache.org/jira/browse/CAMEL-24371
github.comhttps://github.com/apache/camel/pull/25406
github.comhttps://github.com/apache/camel/pull/26583

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-71569: Apache Camel: Camel-A2A Push Notification Webhook Guard Accepts IPv6 Unique Local Addresses Reached Through a Host Name. URL: https://cve.futuretools.ru/cve/CVE-2026-71569

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_71569,
  title = {{CVE-2026-71569: Apache Camel: Camel-A2A Push Notification Webhook Guard Accepts IPv6 Unique Local Addresses Reached Through a Host Name}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-71569}},
  note = {Оперативный инженерный анализ киберугроз}
}