CVE-2026-85254

요약

Apache Camel Platform HTTP 컴포넌트의 대소문자 구분 부적절 처리 취약점. 이 문제는 Apache Camel에 영향을 미침: 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전. 요청 헤더가 응답에 반영되는 것을 방지하는 가드가 헤더 이름을 대소문자를 구분하여 비교했으나, HTTP 헤더 이름은 대소문자를 구분하지 않음. 따라서 호출자는 단순히 헤더 이름의 대소문자를 바꾸는 것만으로 억제를 무력화할 수 있었음. HTTP/2는 이 문제를 선택 사항이 아닌 무조건적인 문제로 만듦: 프로토콜은 전송 중 헤더 이름이 소문자여야 하므로 비교가 결코 일치하지 않았고, HTTP/2 연결의 모든 요청에 대해 억제가 무효였음. 그 결과 호출자가 선택한 콘텐츠가 응답에 그대로 반사되어, Camel 엔드포인트 앞에 위치한 모든 대상에 대한 응답 분할 및 캐시 포이즈닝 스타일 공격의 기반이 됨. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드할 것. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 함. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 함. 이제 요청 헤더 이름이 대소문자를 구분하지 않고 비교되므로, 대소문자와 무관하게 억제가 유지되며 HTTP/2에서도 작동함. 즉시 업그레이드할 수 없는 배포의 경우, Camel 엔드포인트 앞에서 해당 헤더를 제거하거나, 내장 억제에 의존하지 말고 라우트에서 응답에서 해당 헤더를 제거할 것.

소스

• CVE-2026-85254PoC

  CVE-2026-85254에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, 헤더 이름 대소문자 표기를 통한 Apache Camel camel-platform-http 헤더 에코 억제 우회를 취약 및 수정된 컨트롤과 함께 보여줍니다.