CVE-2026-85254
Apache Camel: soppressione dell'eco dell'header di richiesta in Camel-Platform-HTTP aggirata tramite la capitalizzazione del nome dell'header
- Pubblicato
- 19 ott 2026
- Aggiornato
- 19 ott 2026
- Assegnazione CNA
- apache
- Evidenza osservata
- 20 ott 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 27,6%
- Data del modello
- 25 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Vulnerabilità di gestione impropria della distinzione tra maiuscole e minuscole nel componente HTTP della piattaforma Apache Camel. Questo problema interessa Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. La protezione che impedisce che un'intestazione di richiesta venga riflessa nella risposta confrontava i nomi delle intestazioni in modo sensibile alle maiuscole, mentre i nomi delle intestazioni HTTP sono insensibili alle maiuscole. Un chiamante poteva quindi aggirare la soppressione semplicemente variando le maiuscole/minuscole del nome dell'intestazione. HTTP/2 rende il problema incondizionato anziché opzionale: il protocollo richiede che i nomi delle intestazioni siano in minuscolo sul filo, quindi il confronto non corrispondeva mai e la soppressione era inerte per ogni richiesta su una connessione HTTP/2. La conseguenza è che il contenuto scelto dal chiamante viene restituito nella risposta, il che costituisce la base per attacchi di tipo response-splitting e cache-poisoning contro qualunque cosa si trovi davanti all'endpoint Camel. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del flusso di rilascio LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti del flusso di rilascio LTS 4.22.x dovrebbero aggiornare alla 4.22.1. I nomi delle intestazioni di richiesta vengono ora confrontati in modo insensibile alle maiuscole, quindi la soppressione vale indipendentemente dalle maiuscole/minuscole e funziona con HTTP/2. Per le distribuzioni che non possono aggiornare immediatamente, rimuovere le intestazioni in questione davanti all'endpoint Camel, oppure rimuoverle dalla risposta nella route anziché affidarsi alla soppressione integrata.
Fonti
Reproducer eseguibile per Spring Boot e Quarkus per CVE-2026-85254, che dimostra il bypass della soppressione dell'echo degli header in Apache Camel camel-platform-http tramite la variazione di maiuscole/minuscole nei nomi degli header, con controlli vulnerabili e corretti.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.