CVE-2026-85254

Resumen

Vulnerabilidad de gestión incorrecta de la sensibilidad a mayúsculas y minúsculas en el componente HTTP de Apache Camel Platform. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. La protección que impide que un encabezado de solicitud se refleje en la respuesta comparaba los nombres de encabezado distinguiendo mayúsculas y minúsculas, mientras que los nombres de encabezado HTTP no distinguen mayúsculas y minúsculas. Por lo tanto, un llamador podía eludir la supresión simplemente variando las mayúsculas y minúsculas del nombre del encabezado. HTTP/2 hace que el problema sea incondicional en lugar de opcional: el protocolo exige que los nombres de encabezado estén en minúsculas en el cable, por lo que la comparación nunca coincidía y la supresión quedaba inerte para todas las solicitudes en una conexión HTTP/2. La consecuencia es que el contenido elegido por el llamador se devuelve en la respuesta, lo que constituye la base de ataques de tipo response-splitting y envenenamiento de caché contra cualquier componente situado delante del endpoint de Camel. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Ahora los nombres de encabezado de solicitud se comparan sin distinguir mayúsculas y minúsculas, por lo que la supresión se mantiene independientemente del uso de mayúsculas y minúsculas y funciona con HTTP/2. Para las implementaciones que no puedan actualizar de inmediato, elimine los encabezados en cuestión delante del endpoint de Camel, o elimínelos de la respuesta en la ruta en lugar de confiar en la supresión integrada.

Fuentes

• CVE-2026-85254PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-85254, que demuestra el bypass de supresión de eco de encabezados de Apache Camel camel-platform-http mediante el uso de mayúsculas y minúsculas en los nombres de encabezados, con controles afectados y corregidos.