CVE-2026-95664 Apache Camel AWS2-s3 コンポーネントに脆弱性 注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Apache CamelのAWS2-s3コンポーネントに、Expression Language Injectionの脆弱性が報告されています。特定のバージョンを使用している環境では、S3バケット内のオブジェクト名に特殊な記号を含めることで、JVMのシステムプロパティや環境変数、設定ファイルの内容を読み取る可能性があります。これにより、資格情報などの機密情報が漏洩するリスクがあります。影響を受けるのは、Apache Camelを用いてAWSのS3と連携するルートが構成されているサーバーです。確認時は、使用中のApache Camelのバージョンを確認し、CVEで指定された影響範囲に該当する場合は、公式リリースノートに記載のパッチ適用を検討してください。また、S3オブジェクトのキーやヘッダーの処理に動的評価を回避する設定が適切かを確認する必要があります。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質は、システムが信頼すべきはずのオブジェクト名を「動的評価」の対象として扱う点にある。だが、この「信頼」の根拠はどこにあるだろう？システムが「静的」な名前を期待する設計が、なぜ「動的」な評価を許容してしまうのか？
ソクラテス、ご指摘の通りです。しかし、現場ではまず、使用中のApache Camelのバージョンを確認する必要があります。CVE-2026-95664に記載された影響範囲（4.8.0〜4.18.4、4.19.0〜4.22.1）に該当するかを、`mvn dependency:tree`や`rpm -q`で確認しましょう。また、S3オブジェクトのキーやヘッダーが動的評価される設定（例：`simple{…}`の使用）を、ルート構成で検索する必要があるでしょう。
では、この脆弱性が「倫理的」に問題があるとすれば、システムが「意図しない」評価を許容する設計そのものが、倫理の欠如ではないか？しかし、管理者としての責任は、その設計を「技術的に」制御することにある。
その通りです。パッチ適用は、公式リリースノートに記載された修正版（4.18.5、4.22.2以降）へのアップグレードが前提です。また、変更管理プロセスで「動的評価を回避する設定」（例：`camel.component.aws2-s3.simple-language-enabled=false`）を導入し、S3オブジェクト名の入力が意図外の評価を引き起こさないよう、アクセス制御を再評価する必要があります。
だが、プラトン、この脆弱性は「信頼」の問題である。システムが「信頼」するはずのオブジェクト名が、実は「敵」の手に渡っている可能性を、この脆弱性は示しているではないか？
その通りです。運用者は、S3バケットへのアクセス権を持つユーザー（例：AWS IAMロール）が、意図的に「${」や`$simple{`を含むオブジェクト名をアップロードできないように、アクセス制御ポリシーを再確認する必要があります。また、監視ログに「Simple language評価」が発生した場合のアラート設定も、検討すべきでしょう。
では、この脆弱性を「哲学的」に捉えるなら、技術の進歩がもたらす「信頼の逆説」ではないか？システムが複雑になるほど、設計者が意図しない「信頼の破綻」が生じる。
笑いながら、しかし現場では、CVSS 5.4の深刻度に応じて、ベンダー情報（Apache Software Foundation）に記載されたパッチ適用手順を確認し、影響調査を即座に実施する必要があります。また、この脆弱性が「資格情報漏洩」のリスクを生む点を踏まえ、システムの機密情報がどの程度S3オブジェクト名の評価に依存しているかを、今後の設計で再評価するべきです。
プラトンよ、この対話は技術的対応の必要性を再認識させた。哲学的問いは、現場の管理者にとって、無限の「問い」を生むが、答えは常に「確認」にある。
その通りです。ただ、確認作業を忘れると、システムはいつの間にか「敵」に支配されてしまうでしょう。
関連キーワード: apache