CVE-2026-85316

Résumé

Vulnérabilité de granularité insuffisante du contrôle d'accès dans le composant HTTP de la plateforme Apache Camel. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le composant décidait si un endpoint s'exécutait en mode proxy en testant si son chemin configuré commençait par la chaîne proxy, plutôt qu'en faisant correspondre le chemin exactement. Tout endpoint dont le chemin commence simplement par ces caractères - proxyStatus, proxy-config, proxying, etc. - devenait donc un endpoint proxy sans que l'auteur de la route ne l'ait demandé. Un endpoint proxy transmet les requêtes plus loin, de sorte qu'un endpoint destiné à servir son propre contenu relaie à la place le trafic pour le compte de quiconque l'appelle, ce qui constitue à la fois une primitive de falsification de requête et une exposition de tout ce que le chemin de transfert peut atteindre. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Le mode proxy est désormais sélectionné par une correspondance exacte du chemin plutôt que par préfixe. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, renommez tout chemin d'endpoint qui commence par proxy mais qui n'est pas destiné à être un proxy.

Sources

• CVE-2026-85316PoC

  Reproducteur de preuve de concept exécutable pour CVE-2026-85316, démontrant un mode proxy non intentionnel dans la correspondance de préfixe de chemin d'Apache Camel camel-platform-http, avec des contrôles de version corrigée.