CVE-2026-80343

요약

Apache Camel Netty HTTP 컴포넌트의 대소문자 구분 처리 미흡 취약점. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. camel-netty-http 보안 제약은 요청 경로를 구성된 컨텍스트 경로와 대소문자를 구분하여 비교했지만, 요청을 엔드포인트로 디스패치하는 라우팅은 동일한 규칙을 적용하지 않았습니다. 따라서 구성된 값과 대소문자가 다른 모든 경로에 대해 두 비교 결과가 불일치했습니다. 외부 호출자가 경로 세그먼트의 문자 대소문자를 변경하면 보안 제약이 해당 경로를 보호 대상으로 인식하지 못하게 되는 반면, 요청은 여전히 동일한 엔드포인트로 디스패치될 수 있었습니다. 그 결과 제약이 건너뛰어지고, 이를 충족하지 않은 채로 보호된 라우트에 도달하게 됩니다. 컨슈머에 요청을 보낼 수 있는 것 외에는 자격 증명, 사전 접근 권한 또는 특별한 구성이 필요하지 않습니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 제약은 디스패치에서 사용하는 것과 동일한 대소문자 규칙으로 요청 경로를 일치시키므로, 두 비교가 더 이상 불일치할 수 없습니다. 즉시 업그레이드할 수 없는 배포 환경의 경우, 요청 경로를 전달 전에 정규화하는 리버스 프록시 등 Camel 컨슈머 앞단에 권한 부여 결정을 배치하십시오.

소스

• CVE-2026-80343PoC

  CVE-2026-80343에 대한 실행 가능한 개념 증명으로, camel-netty-http 보안 제약 조건의 대소문자 구분 우회 취약점이며, Spring Boot 및 Quarkus 재현 환경과 수정 검증을 포함합니다.