CVE-2026-80343

Резюме

Уязвимость неправильной обработки регистрозависимости в компоненте Apache Camel Netty HTTP. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Ограничение безопасности camel-netty-http сравнивало путь запроса с настроенным контекстным путём с использованием регистрозависимого сопоставления, тогда как маршрутизация, направляющая запрос к эндпоинту, не применяла то же правило. Таким образом, два сравнения расходились для любого пути, регистр которого отличался от настроенного значения. Внешний вызывающий субъект мог изменить регистр символа в сегменте пути так, чтобы ограничение безопасности больше не распознавало путь как защищённый, при этом запрос всё равно направлялся к тому же эндпоинту. В результате ограничение пропускается, и защищённый маршрут достигается без его соблюдения. Не требуется никаких учётных данных, предварительного доступа или специальной конфигурации, кроме возможности отправить запрос потребителю. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь ограничение сопоставляет путь запроса с теми же правилами регистра, которые использует диспетчеризация, поэтому они больше не могут расходиться. Для развёртываний, которые не могут обновиться немедленно, разместите решение об авторизации перед потребителем Camel, например в обратном прокси, который нормализует путь запроса перед пересылкой.

Источники

• CVE-2026-80343PoC

  Рабочий proof-of-concept для CVE-2026-80343 — обхода проверки безопасности camel-netty-http из-за регистрозависимости, с воспроизведением на Spring Boot и Quarkus и проверкой исправления.