CVE-2026-80343

Résumé

Vulnérabilité de mauvaise gestion de la sensibilité à la casse dans le composant Apache Camel Netty HTTP. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. La contrainte de sécurité de camel-netty-http comparait le chemin de la requête au chemin de contexte configuré à l'aide d'une correspondance sensible à la casse, tandis que le routage qui distribue la requête vers le point de terminaison n'appliquait pas la même règle. Les deux comparaisons divergeaient donc pour tout chemin dont la casse différait de la valeur configurée. Un appelant externe pouvait modifier la casse d'un caractère dans un segment de chemin afin que la contrainte de sécurité ne reconnaisse plus le chemin comme protégé, tandis que la requête était toujours distribuée vers le même point de terminaison. Il en résulte que la contrainte est ignorée et que la route protégée est atteinte sans la satisfaire. Aucun identifiant, accès préalable ou configuration spéciale n'est requis au-delà de la capacité à envoyer une requête au consommateur. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. La contrainte correspond désormais au chemin de la requête avec les mêmes règles de casse que celles utilisées par la distribution, de sorte que les deux ne peuvent plus diverger. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, placez la décision d'autorisation en amont du consommateur Camel, par exemple dans un proxy inverse qui normalise le chemin de la requête avant de le transmettre.

Sources

• CVE-2026-80343PoC

  Preuve de concept exécutable pour CVE-2026-80343, un contournement de la sensibilité à la casse des contraintes de sécurité de camel-netty-http, avec des reproducers Spring Boot et Quarkus et une vérification du correctif.