CVE-2026-85254

सारांश

Apache Camel Platform HTTP घटक में केस संवेदनशीलता की अनुचित हैंडलिंग का भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जो गार्ड किसी अनुरोध हेडर को प्रतिक्रिया में प्रतिबिंबित होने से रोकता था, वह हेडर नामों की केस-संवेदी रूप से तुलना करता था, जबकि HTTP हेडर नाम केस-असंवेदी होते हैं। इसलिए एक कॉलर केवल हेडर नाम का केस बदलकर इस दमन को विफल कर सकता था। HTTP/2 इस समस्या को वैकल्पिक के बजाय सार्वभौमिक बना देता है: प्रोटोकॉल के अनुसार वायर पर हेडर नाम लोअरकेस होने चाहिए, इसलिए तुलना कभी मेल नहीं खाती थी और HTTP/2 कनेक्शन पर प्रत्येक अनुरोध के लिए दमन निष्क्रिय रहता था। परिणाम यह है कि कॉलर द्वारा चुनी गई सामग्री प्रतिक्रिया में वापस प्रतिध्वनित हो जाती है, जो Camel एंडपॉइंट के सामने जो कुछ भी है, उसके विरुद्ध response-splitting और cache-poisoning शैली के हमलों का आधार है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अब अनुरोध हेडर नामों की केस-असंवेदी रूप से तुलना की जाती है, इसलिए दमन केसिंग की परवाह किए बिना कायम रहता है और HTTP/2 के अंतर्गत काम करता है। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, संबंधित हेडर को Camel एंडपॉइंट के सामने हटा दें, या अंतर्निहित दमन पर निर्भर रहने के बजाय रूट में उन्हें प्रतिक्रिया से हटा दें।

स्रोत

• CVE-2026-85254PoC

  CVE-2026-85254 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो हेडर-नाम केसिंग के माध्यम से Apache Camel camel-platform-http हेडर-इको सप्रेशन बायपास को प्रदर्शित करता है, प्रभावित और फिक्स्ड कंट्रोल के साथ।