CVE-2026-40453

Resumen

La corrección para CVE-2025-27636 añadió `setLowerCase(true)` a `HttpHeaderFilterStrategy` para que los nombres de cabecera con variantes de mayúsculas, como `'CAmelExecCommandExecutable'`, se filtren junto con `'CamelExecCommandExecutable'`. La misma llamada a `setLowerCase(true)` no se aplicó a cinco implementaciones de `HeaderFilterStrategy` que no son HTTP: `JmsHeaderFilterStrategy` y `ClassicJmsHeaderFilterStrategy` en camel-jms, `SjmsHeaderFilterStrategy` en camel-sjms, `CoAPHeaderFilterStrategy` en camel-coap y `GooglePubsubHeaderFilterStrategy` en camel-google-pubsub. Debido a que esas estrategias utilizan un filtrado `String.startsWith('Camel'/'camel')` sensible a mayúsculas mientras que el Camel Exchange almacena las cabeceras en un mapa insensible a mayúsculas, un atacante con acceso de productor JMS (o equivalente) al broker consumido por una ruta de Camel puede inyectar cabeceras internas de Camel con variantes de mayúsculas, que luego son resueltas por componentes posteriores como camel-exec y camel-file utilizando su capitalización canónica. Esto permite la ejecución remota de código y la escritura arbitraria de archivos en rutas que reenvían mensajes JMS a componentes controlados por cabeceras. Este problema afecta a Apache Camel: desde 3.0.0 antes de 4.14.6, desde 4.15.0 antes de 4.18.2, desde 4.19.0 antes de 4.20.0. Se recomienda a los usuarios actualizar a la versión 4.20.0, que corrige el problema. Si los usuarios están en la rama de versiones LTS 4.14.x, se les sugiere actualizar a 4.14.6. Si los usuarios están en la rama de versiones 4.18.x, se les sugiere actualizar a 4.18.2.

• CVE-2026-40453PoC

  Reproductor para CVE-2026-40453: inyección de encabezado Camel con variante de caso en Apache Camel (corrección incompleta de CVE-2025-27636)