CVE-2026-85254

Резюме

Уязвимость неправильной обработки регистрозависимости в компоненте Apache Camel Platform HTTP. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Защитный механизм, предотвращающий отражение заголовка запроса в ответе, сравнивал имена заголовков с учётом регистра, тогда как имена HTTP-заголовков регистронезависимы. Таким образом, вызывающая сторона могла обойти подавление, просто изменив регистр имени заголовка. HTTP/2 делает проблему безусловной, а не опциональной: протокол требует, чтобы имена заголовков передавались в нижнем регистре, поэтому сравнение никогда не совпадало, и подавление было неэффективным для каждого запроса в HTTP/2-соединении. Следствием является то, что выбранное вызывающей стороной содержимое отражается обратно в ответе, что служит основой для атак типа response-splitting и cache-poisoning против любого компонента, стоящего перед конечной точкой Camel. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Имена заголовков запросов теперь сравниваются без учёта регистра, поэтому подавление работает независимо от регистра и функционирует под HTTP/2. Для развёртываний, которые не могут обновиться немедленно, удаляйте соответствующие заголовки перед конечной точкой Camel или удаляйте их из ответа в маршруте, вместо того чтобы полагаться на встроенное подавление.

Источники

• CVE-2026-85254PoC

  Работающий воспроизводитель на Spring Boot и Quarkus для CVE-2026-85254, демонстрирующий обход подавления эха заголовков в Apache Camel camel-platform-http через изменение регистра имён заголовков, с уязвимым и исправленным вариантами.