CVE-2026-80343

总结

Apache Camel Netty HTTP 组件中的大小写敏感性处理不当漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。camel-netty-http 安全约束使用区分大小写的匹配将请求路径与配置的上下文路径进行比较，而将请求分发到端点的路由并未应用相同的规则。因此，对于任何大小写与配置值不同的路径，这两种比较会产生不一致。外部调用者可以更改路径段中某个字符的大小写，使安全约束不再将该路径识别为受保护路径，而请求仍会被分发到同一端点。结果是该约束被跳过，受保护的路由在未满足约束的情况下被访问。除了能够向消费者发送请求之外，无需任何凭据、先前访问权限或特殊配置。升级到 Apache Camel 4.23.0 即可修复此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。该约束现在使用与分发相同的规则来匹配请求路径，因此两者不再会产生不一致。对于无法立即升级的部署，请将授权决策置于 Camel 消费者之前，例如在转发前对请求路径进行规范化的反向代理中。

来源

• CVE-2026-80343PoC

  针对 CVE-2026-80343 的可运行概念验证，该漏洞是 camel-netty-http 安全约束大小写敏感性绕过，包含 Spring Boot 和 Quarkus 复现程序及修复验证。