CVE-2026-40453

Resumo

A correção para CVE-2025-27636 adicionou `setLowerCase(true)` ao `HttpHeaderFilterStrategy` para que nomes de cabeçalho com variações de maiúsculas/minúsculas, como `'CAmelExecCommandExecutable'`, sejam filtrados juntamente com `'CamelExecCommandExecutable'`. A mesma chamada `setLowerCase(true)` não foi aplicada a cinco implementações de `HeaderFilterStrategy` não HTTP: `JmsHeaderFilterStrategy` e `ClassicJmsHeaderFilterStrategy` em camel-jms, `SjmsHeaderFilterStrategy` em camel-sjms, `CoAPHeaderFilterStrategy` em camel-coap e `GooglePubsubHeaderFilterStrategy` em camel-google-pubsub. Como essas estratégias usam filtragem sensível a maiúsculas/minúsculas com `String.startsWith('Camel'/'camel')` enquanto o Camel Exchange armazena cabeçalhos em um mapa insensível a maiúsculas/minúsculas, um atacante com acesso de produtor JMS (ou equivalente) ao broker consumido por uma rota Camel pode injetar cabeçalhos internos do Camel com variações de maiúsculas/minúsculas, que são então resolvidos por componentes downstream, como camel-exec e camel-file, usando sua grafia canônica. Isso permite execução remota de código e escrita arbitrária de arquivos em rotas que encaminham mensagens JMS para componentes orientados por cabeçalhos. Este problema afeta o Apache Camel: de 3.0.0 antes de 4.14.6, de 4.15.0 antes de 4.18.2, de 4.19.0 antes de 4.20.0. Recomenda-se que os usuários atualizem para a versão 4.20.0, que corrige o problema. Se os usuários estiverem no fluxo de versões LTS 4.14.x, sugere-se que atualizem para 4.14.6. Se os usuários estiverem no fluxo de versões 4.18.x, sugere-se que atualizem para 4.18.2.

• CVE-2026-40453PoC

  Reprodutor para CVE-2026-40453: injeção de cabeçalho Camel case-variant no Apache Camel (correção incompleta do CVE-2025-27636)