CVE-2026-85254

概要

Apache Camel Platform HTTPコンポーネントにおける大文字と小文字の区別の不適切な処理に関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。リクエストヘッダーがレスポンスに反映されるのを防ぐガードが、ヘッダー名を大文字と小文字を区別して比較していましたが、HTTPヘッダー名は大文字と小文字を区別しません。したがって、呼び出し元はヘッダー名の大文字と小文字を変えるだけで、この抑制を回避できました。HTTP/2では、この問題は任意ではなく無条件になります。プロトコルはヘッダー名をワイヤー上で小文字にすることを要求するため、比較が一致することは決してなく、HTTP/2接続上のすべてのリクエストで抑制が機能しませんでした。その結果、呼び出し元が選択したコンテンツがレスポンスにエコーバックされ、これがCamelエンドポイントの前段に存在するあらゆるものに対するレスポンス分割やキャッシュポイズニング型の攻撃の基盤となります。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。リクエストヘッダー名は大文字と小文字を区別せずに比較されるようになったため、大文字と小文字の区別に関係なく抑制が維持され、HTTP/2でも機能します。すぐにアップグレードできないデプロイメントでは、Camelエンドポイントの前段で該当するヘッダーを削除するか、組み込みの抑制に頼るのではなくルート内でレスポンスからそれらを削除してください。

ソース

• CVE-2026-85254PoC

  CVE-2026-85254 の実行可能な Spring Boot および Quarkus 再現プログラム。ヘッダー名の大文字小文字の違いを利用した Apache Camel camel-platform-http のヘッダーエコー抑制バイパスを、影響を受けるバージョンと修正済みバージョンの対照とともに実演します。