CVE-2026-85254

Niewłaściwa obsługa luki w zabezpieczeniach związanej z rozróżnianiem wielkości liter w komponencie HTTP platformy Apache Camel.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Strażnik, który zapobiega odzwierciedleniu nagłówka żądania w odpowiedzi, porównywał nazwy nagłówków z uwzględnieniem wielkości liter, podczas gdy w nazwach nagłówków HTTP wielkość liter nie jest uwzględniana. Osoba wywołująca może zatem pokonać tłumienie, po prostu zmieniając wielkość liter w nazwie nagłówka. HTTP/2 sprawia, że ​​problem jest raczej bezwarunkowy, a nie opcjonalny: protokół wymaga, aby nazwy nagłówków były pisane małymi literami, więc porównanie nigdy nie było zgodne, a tłumienie było bezczynne dla każdego żądania w połączeniu HTTP/2. W rezultacie treść wybrana przez osobę dzwoniącą odbija się echem w odpowiedzi, co stanowi podstawę ataków w stylu dzielenia odpowiedzi i zatruwania pamięci podręcznej na wszystko, co znajduje się przed punktem końcowym Camela.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Nazwy nagłówków żądań są teraz porównywane bez uwzględniania wielkości liter, więc pomijanie obowiązuje niezależnie od wielkości liter i działa w ramach protokołu HTTP/2. W przypadku wdrożeń, których nie można uaktualnić natychmiast, usuń odpowiednie nagłówki przed punktem końcowym Camel lub usuń je z odpowiedzi na trasie, zamiast polegać na wbudowanym tłumieniu.