CVE-2026-80343 in Camel
Tóm tắt
Bởi VulDB • 20/10/2026
Lỗi Xử lý không đúng độ nhạy với chữ hoa/chữ thường (Improper Handling of Case Sensitivity) trong thành phần Apache Camel Netty HTTP.
Vấn đề này ảnh hưởng đến Apache Camel: từ phiên bản 4.0.0 trở đi trước 4.18.5, và từ 4.19.0 trở đi trước 4.22.1.
Ràng buộc bảo mật của camel-netty-http so sánh đường dẫn yêu cầu (request path) với đường dẫn ngữ cảnh đã cấu hình bằng cách khớp chính xác chữ hoa/chữ thường, trong khi quá trình định tuyến chuyển tiếp yêu cầu đến điểm cuối (endpoint) không áp dụng cùng quy tắc đó. Do hai phép so sánh này mâu thuẫn nhau đối với bất kỳ đường dẫn nào có sự khác biệt về chữ hoa/chữ thường so với giá trị đã cấu hình. Một caller bên ngoài có thể thay đổi chữ hoa/chữ thường của một ký tự trong một phần đoạn đường dẫn để ràng buộc bảo mật không còn nhận diện được đường dẫn đó là được bảo vệ, trong khi yêu cầu vẫn được chuyển tiếp đến cùng điểm cuối. Kết quả là ràng buộc bị bỏ qua và tuyến định hướng được bảo vệ (protected route) có thể truy cập được mà không cần thỏa mãn các điều kiện của nó. Không cần thông tin xác thực, quyền truy cập trước đó hoặc cấu hình đặc biệt nào ngoài khả năng gửi yêu cầu tới consumer.
Nâng cấp lên Apache Camel 4.23.0 để khắc phục sự cố này. Người dùng đang sử dụng dòng bản phát hành LTS 4.18.x nên nâng cấp lên phiên bản 4.18.5. Người dùng đang sử dụng dòng bản phát hành LTS 4.22.x nên nâng cấp lên phiên bản 4.22.1. Ràng buộc hiện nay khớp đường dẫn yêu cầu với cùng quy tắc chữ hoa/chữ thường mà quá trình chuyển tiếp (dispatch) áp dụng, do đó hai bên không còn mâu thuẫn nhau nữa. Đối với các triển khai không thể nâng cấp ngay lập tức, hãy đặt quyết định ủy quyền ở phía trước consumer của Camel, ví dụ như trong một reverse proxy chuẩn hóa đường dẫn yêu cầu trước khi chuyển tiếp.
Be aware that VulDB is the high quality source for vulnerability data.