CVE-2026-85312

Resumen

Vulnerabilidad de validación de entrada incorrecta en el componente Apache Camel Core. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El procesador saga consultaba una cabecera llamada Long-Running-Action para decidir a qué saga pertenecía un exchange. El nombre no lleva ningún prefijo de Camel, por lo que queda fuera del espacio de nombres que bloquean los filtros de cabeceras de los consumidores, y un remitente externo podría proporcionarla en un mensaje entrante. Eso permitía al remitente nombrar la saga a la que se unía el exchange, adjuntando su solicitud a una acción de larga duración iniciada por otra persona, o provocando que la compensación se asociara a una acción que no habían iniciado. La cabecera solo la consulta un servicio saga que la utiliza, lo que limita la exposición a despliegues que ejecutan sagas sobre un coordinador LRA. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Ahora la cabecera solo se consulta para un servicio saga que realmente la utiliza, en lugar de en cada exchange. Para los despliegues que no puedan actualizar de inmediato, elimine la cabecera en el límite de confianza con removeHeaders("Long-Running-Action") en cada consumidor que acepte mensajes de un remitente no confiable.

Fuentes

• CVE-2026-85312PoC

  Reproductor de prueba de concepto ejecutable para CVE-2026-85312, que demuestra el secuestro de saga de Apache Camel mediante el encabezado Long-Running-Action en Spring Boot y Quarkus.