CVE-2026-85254

Zusammenfassung

Schwachstelle durch unsachgemäße Behandlung der Groß-/Kleinschreibung im HTTP-Komponenten der Apache Camel Platform. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Die Schutzmaßnahme, die verhindert, dass ein Anfrage-Header in die Antwort gespiegelt wird, verglich Header-Namen unter Berücksichtigung der Groß-/Kleinschreibung, während HTTP-Header-Namen die Groß-/Kleinschreibung nicht berücksichtigen. Ein Aufrufer konnte die Unterdrückung daher einfach umgehen, indem er die Groß-/Kleinschreibung des Header-Namens variierte. HTTP/2 macht das Problem unbedingt statt optional: Das Protokoll verlangt, dass Header-Namen auf der Leitung kleingeschrieben sind, sodass der Vergleich nie übereinstimmte und die Unterdrückung bei jeder Anfrage über eine HTTP/2-Verbindung wirkungslos war. Die Folge ist, dass vom Aufrufer gewählte Inhalte in der Antwort zurückgegeben werden, was die Grundlage für Angriffe im Stil von Response-Splitting und Cache-Poisoning gegen alles darstellt, was sich vor dem Camel-Endpunkt befindet. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Zweigs 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Zweigs 4.22.x sollten auf 4.22.1 aktualisieren. Anfrage-Header-Namen werden nun ohne Berücksichtigung der Groß-/Kleinschreibung verglichen, sodass die Unterdrückung unabhängig von der Schreibweise greift und unter HTTP/2 funktioniert. Für Bereitstellungen, die nicht sofort aktualisiert werden können, entfernen Sie die betreffenden Header vor dem Camel-Endpunkt oder entfernen Sie sie in der Route aus der Antwort, anstatt sich auf die integrierte Unterdrückung zu verlassen.

Quellen

• CVE-2026-85254PoC

  Lauffähiger Spring Boot- und Quarkus-Reproducer für CVE-2026-85254, der die Umgehung der Header-Echo-Unterdrückung in Apache Camel camel-platform-http über die Groß-/Kleinschreibung von Header-Namen demonstriert, mit betroffenen und korrigierten Kontrollen.