CVE-2026-80343

Niewłaściwa obsługa luki w zabezpieczeniach związanej z rozróżnianiem wielkości liter w komponencie HTTP Apache Camel Netty.



Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.



Ograniczenie bezpieczeństwa Camel-netty-http porównało ścieżkę żądania ze skonfigurowaną ścieżką kontekstu przy użyciu dopasowania uwzględniającego wielkość liter, podczas gdy routing wysyłający żądanie do punktu końcowego nie stosował tej samej reguły. Dlatego te dwa porównania nie wykazały zgodności dla żadnej ścieżki, której przypadek różnił się od skonfigurowanej wartości. Zewnętrzny obiekt wywołujący może zmienić wielkość liter w segmencie ścieżki, tak aby ograniczenie bezpieczeństwa nie rozpoznawało już ścieżki jako chronionej, podczas gdy żądanie nadal było wysyłane do tego samego punktu końcowego. W rezultacie ograniczenie jest pomijane i osiągana jest chroniona trasa bez jej spełnienia. Nie są wymagane żadne dane uwierzytelniające, wcześniejszy dostęp ani specjalna konfiguracja poza możliwością wysłania żądania do konsumenta.



Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Ograniczenie dopasowuje teraz ścieżkę żądania do tych samych reguł przypadku, których używa wysyłka, więc obie strony nie mogą się już różnić. W przypadku wdrożeń, których nie można uaktualnić natychmiast, umieść decyzję o autoryzacji przed klientem Camel, na przykład w odwrotnym serwerze proxy, który normalizuje ścieżkę żądania przed przekazaniem dalej.