CVE-2026-80343

Resumen

Vulnerabilidad de gestión incorrecta de la sensibilidad a mayúsculas y minúsculas en el componente HTTP Netty de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 anterior a 4.18.5, desde 4.19.0 anterior a 4.22.1. La restricción de seguridad de camel-netty-http comparaba la ruta de la solicitud con la ruta de contexto configurada mediante una coincidencia sensible a mayúsculas y minúsculas, mientras que el enrutamiento que despacha la solicitud al endpoint no aplicaba la misma regla. Por lo tanto, ambas comparaciones no coincidían para cualquier ruta cuya capitalización difiriera del valor configurado. Un llamador externo podía alterar la capitalización de un carácter en un segmento de la ruta para que la restricción de seguridad dejara de reconocer la ruta como protegida, mientras que la solicitud seguía despachándose al mismo endpoint. El resultado es que se omite la restricción y se alcanza la ruta protegida sin satisfacerla. No se requiere ninguna credencial, acceso previo ni configuración especial más allá de poder enviar una solicitud al consumidor. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. La restricción ahora compara la ruta de la solicitud con las mismas reglas de capitalización que utiliza el despacho, por lo que ambas ya no pueden discrepar. Para las implementaciones que no puedan actualizar de inmediato, sitúe la decisión de autorización delante del consumidor de Camel, por ejemplo en un proxy inverso que normalice la ruta de la solicitud antes de reenviarla.

Fuentes

• CVE-2026-80343PoC

  Prueba de concepto ejecutable para CVE-2026-80343, un bypass de distinción entre mayúsculas y minúsculas en las restricciones de seguridad de camel-netty-http, con reproductores de Spring Boot y Quarkus y verificación de la corrección.