CVE-2026-85254 in Camel
Résumé
par VulDB • 19/10/2026
Vulnérabilité de gestion incorrecte de la sensibilité à la casse dans le composant HTTP de Apache Camel Platform.
Cette vulnérabilité affecte Apache Camel : des versions 4.0.0 jusqu'à 4.18.5 (exclus), et des versions 4.19.0 jusqu'à 4.22.1 (exclus).
Le mécanisme de garde qui empêche la réflexion d'un en-tête de requête dans la réponse comparait les noms d'en-têtes avec une sensibilité à la casse, alors que les noms d'en-têtes HTTP sont insensibles à la casse. Un attaquant peut donc contourner cette suppression simplement en modifiant la casse du nom de l'en-tête. Avec HTTP/2, le problème devient inconditionnel plutôt qu'optionnel : le protocole exige que les noms d'en-têtes soient en minuscules sur le fil (wire), ce qui signifie que la comparaison ne correspondait jamais et que la suppression était inefficace pour chaque requête sur une connexion HTTP/2. La conséquence est que le contenu choisi par l'appelant est renvoyé dans la réponse, ce qui constitue la base d'attaques de type « response-splitting » (fractionnement de réponse) et empoisonnement de cache contre les éléments situés devant le point de terminaison Camel.
Mettez à niveau vers Apache Camel 4.23.0, qui corrige cette vulnérabilité. Les utilisateurs des branches LTS 4.18.x doivent mettre à jour vers la version 4.18.5. Les utilisateurs des branches LTS 4.22.x doivent mettre à jour vers la version 4.22.1. Les noms d'en-têtes de requête sont désormais comparés sans sensibilité à la casse, ce qui rend la suppression efficace quelle que soit la casse et fonctionne sous HTTP/2. Pour les déploiements ne pouvant pas effectuer une mise à niveau immédiate, supprimez les en-têtes concernés devant le point de terminaison Camel, ou retirez-les dans la route plutôt que de compter sur la suppression intégrée.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.