CVE-2026-80343

Zusammenfassung

Schwachstelle durch unsachgemäßen Umgang mit Groß-/Kleinschreibung im Apache Camel Netty HTTP-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Die Sicherheitsbeschränkung von camel-netty-http verglich den Anforderungspfad mit dem konfigurierten Kontextpfad unter Verwendung eines groß-/kleinschreibungssensitiven Abgleichs, während das Routing, das die Anforderung an den Endpunkt weiterleitet, nicht dieselbe Regel anwandte. Die beiden Vergleiche stimmten daher für jeden Pfad nicht überein, dessen Groß-/Kleinschreibung vom konfigurierten Wert abwich. Ein externer Aufrufer konnte die Groß-/Kleinschreibung eines Zeichens in einem Pfadsegment ändern, sodass die Sicherheitsbeschränkung den Pfad nicht mehr als geschützt erkannte, während die Anforderung dennoch an denselben Endpunkt weitergeleitet wurde. Das Ergebnis ist, dass die Beschränkung übersprungen und die geschützte Route erreicht wird, ohne sie zu erfüllen. Es sind keine Anmeldeinformationen, kein vorheriger Zugriff und keine besondere Konfiguration erforderlich, außer der Fähigkeit, eine Anforderung an den Consumer zu senden. Aktualisieren Sie auf Apache Camel 4.23.0, das das Problem behebt. Benutzer der LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer der LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Die Beschränkung gleicht den Anforderungspfad nun mit denselben Groß-/Kleinschreibungsregeln ab, die auch die Weiterleitung verwendet, sodass die beiden nicht mehr übereinstimmen können. Für Bereitstellungen, die nicht sofort aktualisiert werden können, platzieren Sie die Autorisierungsentscheidung vor dem Camel-Consumer, beispielsweise in einem Reverse-Proxy, der den Anforderungspfad vor der Weiterleitung normalisiert.

Quellen

• CVE-2026-80343PoC

  Lauffähiger Proof-of-Concept für CVE-2026-80343, eine Umgehung der Groß-/Kleinschreibung von Security-Constraints in camel-netty-http, mit Spring-Boot- und Quarkus-Reproduzierern und Verifikation des Fixes.