CVE-2026-85254

Resumo

Vulnerabilidade de Tratamento Incorreto de Sensibilidade a Maiúsculas e Minúsculas no componente HTTP da Plataforma Apache Camel. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. A proteção que impede que um cabeçalho de requisição seja refletido na resposta comparava os nomes dos cabeçalhos diferenciando maiúsculas de minúsculas, enquanto os nomes de cabeçalhos HTTP não diferenciam maiúsculas de minúsculas. Um chamador poderia, portanto, contornar a supressão simplesmente variando a caixa do nome do cabeçalho. O HTTP/2 torna o problema incondicional em vez de opcional: o protocolo exige que os nomes dos cabeçalhos estejam em minúsculas no meio de transmissão, de modo que a comparação nunca correspondia e a supressão era inerte para todas as requisições em uma conexão HTTP/2. A consequência é que o conteúdo escolhido pelo chamador é ecoado de volta na resposta, o que é a base para ataques do tipo response-splitting e cache-poisoning contra qualquer coisa que esteja à frente do endpoint Camel. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários no fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários no fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Os nomes dos cabeçalhos de requisição agora são comparados sem diferenciar maiúsculas de minúsculas, de modo que a supressão se mantém independentemente da caixa e funciona sob HTTP/2. Para implantações que não podem atualizar imediatamente, remova os cabeçalhos em questão à frente do endpoint Camel, ou remova-os da resposta na rota em vez de confiar na supressão integrada.

Fontes

• CVE-2026-85254PoC

  Reprodutor executável em Spring Boot e Quarkus para a CVE-2026-85254, demonstrando o bypass da supressão de eco de cabeçalhos do Apache Camel camel-platform-http por meio da capitalização de nomes de cabeçalhos, com controles afetados e corrigidos.