CVE-2026-85316

Resumen

Vulnerabilidad de granularidad insuficiente del control de acceso en el componente HTTP de Apache Camel Platform. Este problema afecta a Apache Camel: desde 4.0.0 hasta antes de 4.18.5, desde 4.19.0 hasta antes de 4.22.1. El componente decidía si un endpoint se ejecutaba en modo proxy comprobando si su ruta configurada comenzaba con la cadena proxy, en lugar de coincidir exactamente con la ruta. Por lo tanto, cualquier endpoint cuya ruta simplemente comenzara con esos caracteres —proxyStatus, proxy-config, proxying, etc.— se convertía en un endpoint proxy sin que el autor de la ruta lo solicitara. Un endpoint proxy reenvía las solicitudes, por lo que un endpoint destinado a servir su propio contenido en su lugar retransmite el tráfico en nombre de quien lo invoca, lo que constituye tanto una primitiva de falsificación de solicitudes como una exposición de todo aquello a lo que pueda llegar la ruta de reenvío. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. El modo proxy ahora se selecciona mediante una coincidencia exacta de ruta en lugar de por prefijo. Para las implementaciones que no puedan actualizar de inmediato, cambie el nombre de cualquier ruta de endpoint que comience con proxy pero que no esté destinada a ser un proxy.

Fuentes

• CVE-2026-85316PoC

  Reproductor ejecutable de prueba de concepto para CVE-2026-85316, que demuestra el modo proxy no intencionado en la coincidencia de prefijos de ruta de Apache Camel camel-platform-http, con controles de versión corregida.