CVE-2026-80343

Resumo

Vulnerabilidade de Tratamento Incorreto de Sensibilidade a Maiúsculas e Minúsculas no componente Apache Camel Netty HTTP. Este problema afeta o Apache Camel: de 4.0.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. A restrição de segurança do camel-netty-http comparava o caminho da requisição com o caminho de contexto configurado usando uma correspondência sensível a maiúsculas e minúsculas, enquanto o roteamento que encaminha a requisição ao endpoint não aplicava a mesma regra. As duas comparações, portanto, divergiam para qualquer caminho cujo uso de maiúsculas e minúsculas diferisse do valor configurado. Um chamador externo poderia alterar o uso de maiúsculas e minúsculas de um caractere em um segmento de caminho para que a restrição de segurança deixasse de reconhecer o caminho como protegido, enquanto a requisição ainda era encaminhada ao mesmo endpoint. O resultado é que a restrição é ignorada e a rota protegida é alcançada sem satisfazê-la. Nenhuma credencial, acesso prévio ou configuração especial é necessária além da capacidade de enviar uma requisição ao consumidor. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. A restrição agora corresponde ao caminho da requisição com as mesmas regras de maiúsculas e minúsculas usadas pelo despacho, de modo que as duas não podem mais divergir. Para implantações que não podem atualizar imediatamente, coloque a decisão de autorização à frente do consumidor Camel, por exemplo, em um proxy reverso que normaliza o caminho da requisição antes de encaminhá-la.

Fontes

• CVE-2026-80343PoC

  Prova de conceito executável para CVE-2026-80343, um bypass de sensibilidade a maiúsculas/minúsculas em security-constraint do camel-netty-http, com reprodutores Spring Boot e Quarkus e verificação de correção.