CVE-2026-40453

Résumé

Le correctif pour CVE-2025-27636 a ajouté `setLowerCase(true)` à `HttpHeaderFilterStrategy` afin que les noms d'en-têtes avec des variantes de casse, tels que `'CAmelExecCommandExecutable'`, soient filtrés en plus de `'CamelExecCommandExecutable'`. Le même appel `setLowerCase(true)` n'a pas été appliqué à cinq implémentations de `HeaderFilterStrategy` non-HTTP : `JmsHeaderFilterStrategy` et `ClassicJmsHeaderFilterStrategy` dans camel-jms, `SjmsHeaderFilterStrategy` dans camel-sjms, `CoAPHeaderFilterStrategy` dans camel-coap, et `GooglePubsubHeaderFilterStrategy` dans camel-google-pubsub. Étant donné que ces stratégies utilisent un filtrage sensible à la casse avec `String.startsWith('Camel'/'camel')` alors que l'échange Camel stocke les en-têtes dans une table insensible à la casse, un attaquant disposant d'un accès producteur JMS (ou équivalent) au courtier consommé par une route Camel peut injecter des en-têtes internes Camel avec des variantes de casse, qui sont ensuite résolus par les composants en aval tels que camel-exec et camel-file en utilisant leur casse canonique. Cela permet l'exécution de code à distance et l'écriture arbitraire de fichiers sur les routes qui transmettent des messages JMS aux composants pilotés par les en-têtes. Ce problème affecte Apache Camel : de 3.0.0 avant 4.14.6, de 4.15.0 avant 4.18.2, de 4.19.0 avant 4.20.0. Il est recommandé aux utilisateurs de mettre à niveau vers la version 4.20.0, qui corrige le problème. Si les utilisateurs sont sur le flux de versions LTS 4.14.x, il leur est suggéré de passer à la version 4.14.6. Si les utilisateurs sont sur le flux de versions 4.18.x, il leur est suggéré de passer à la version 4.18.2.

• CVE-2026-40453PoC

  Reproducteur pour CVE-2026-40453 : injection d'en-tête Camel par variante de casse dans Apache Camel (correction incomplète de CVE-2025-27636)