CVE-2026-85254

总结

Apache Camel Platform HTTP 组件中的大小写敏感性处理不当漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。用于防止请求头被反射到响应中的防护机制在比较头名称时区分大小写，而 HTTP 头名称是不区分大小写的。因此，调用者只需改变头名称的大小写即可绕过该抑制机制。HTTP/2 使该问题变为无条件而非可选：该协议要求头名称在传输中必须为小写，因此比较永远不会匹配，抑制机制在 HTTP/2 连接上的每个请求中都形同虚设。其后果是调用者所选的内容会被回显到响应中，这构成了针对 Camel 端点前方任何组件的响应拆分和缓存投毒类攻击的基础。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。请求头名称现在以不区分大小写的方式进行比较，因此无论大小写如何，抑制机制都能生效，并且在 HTTP/2 下也能正常工作。对于无法立即升级的部署，请在 Camel 端点前方剥离相关头，或在路由中从响应中移除它们，而不是依赖内置的抑制机制。

来源

• CVE-2026-85254PoC

  针对 CVE-2026-85254 的可运行 Spring Boot 和 Quarkus 复现程序，演示 Apache Camel camel-platform-http 通过请求头名称大小写绕过请求头回显抑制，并包含受影响版本与修复版本的对照。