CVE-2026-85316

Riepilogo

Vulnerabilità di granularità insufficiente del controllo degli accessi nel componente HTTP della piattaforma Apache Camel. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il componente stabiliva se un endpoint veniva eseguito in modalità proxy verificando se il percorso configurato iniziava con la stringa proxy, anziché confrontando il percorso in modo esatto. Qualsiasi endpoint il cui percorso iniziasse semplicemente con quei caratteri - proxyStatus, proxy-config, proxying e così via - diventava quindi un endpoint proxy senza che l'autore della route lo avesse richiesto. Un endpoint proxy inoltra le richieste, quindi un endpoint destinato a servire i propri contenuti si limita invece a ritrasmettere il traffico per conto di chiunque lo chiami, il che costituisce sia una primitiva di falsificazione delle richieste sia un'esposizione di tutto ciò che il percorso di inoltro può raggiungere. Eseguire l'aggiornamento ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del ramo di rilascio LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti del ramo di rilascio LTS 4.22.x devono aggiornare alla 4.22.1. La modalità proxy viene ora selezionata tramite una corrispondenza esatta del percorso anziché tramite prefisso. Per le distribuzioni che non possono aggiornare immediatamente, rinominare qualsiasi percorso di endpoint che inizia con proxy ma non è destinato a essere un proxy.

Fonti

• CVE-2026-85316PoC

  Riproduttore proof-of-concept eseguibile per CVE-2026-85316, che dimostra la modalità proxy non intenzionale nella corrispondenza del prefisso di percorso di Apache Camel camel-platform-http, con controlli sulle versioni corrette.