« Volver al listado

CVE-2026-103413

Estado: Pendiente de análisisAlta (8.8)—

Vulnerabilidad de validación inadecuada de entrada en Apache Camel Karavan.

Cuando se iniciaba un despliegue, Karavan desserializaba el archivo `kubernetes.yaml` de un proyecto y aplicaba todos los recursos que contenía al clúster sin restringir los tipos de recursos, sin rechazar opciones de pod sensibles de seguridad y sin fijar el espacio de nombres de destino. Un usuario autenticado de cualquier rol podría, por lo tanto, hacer que Karavan aplicara recursos arbitrarios de Kubernetes dentro del alcance de su cuenta de servicio, incluyendo pods que solicitaran hostNetwork, hostPID, hostIPC, volúmenes hostPath, puertos del host, contenedores privilegiados, escalada de privilegios o capacidades añadidas.

Leer descripción completaMostrar menos

Este problema afecta a Apache Camel Karavan: desde la versión 4.0.0 anterior a la 4.22.1.

Se recomienda a los usuarios que actualicen a la versión 4.22.1, que corrige el problema.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en Apache Camel Karavan que permite a usuario autenticado (PR:L) desplegar recursos Kubernetes arbitrarios sin restricciones, logrando escalada de privilegios (hostNetwork, privileged containers) y ejecución de código en el cluster.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Threat Intelligence ProgramPrivileged Account ManagementExecution PreventionDisable or Remove Feature or ProgramApplication Isolation and SandboxingExploit Protection

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — Camel KaravanAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-103413",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-103413",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T18:09:32.259224Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@apache.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.8,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache Camel Karavan",
          "versions": [
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.22.1",
              "versionType": "semver"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-09T13:17:07.633",
  "references": [
    {
      "url": "https://camel.apache.org/security/CVE-2026-103413.html",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel-karavan/commit/a773db372eab9f180110ad6129d58004a1bce571",
      "source": "security@apache.org"
    },
    {
      "url": "http://www.openwall.com/lists/oss-security/2026/10/09/17",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-20"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Improper input validation vulnerability in Apache Camel Karavan.\n\n\n\nWhen a deployment was started, Karavan unmarshalled a project's `kubernetes.yaml` and applied every resource it contained to the cluster without restricting the resource kinds, without rejecting security-sensitive pod options, and without pinning the target namespace. An authenticated user of any role could therefore have Karavan apply arbitrary Kubernetes resources within the reach of its service account, including pods requesting hostNetwork, hostPID, hostIPC, hostPath volumes, host ports, privileged containers, privilege escalation or added capabilities.\n\n\n\nThis issue affects Apache Camel Karavan: from 4.0.0 before 4.22.1.\n\n\n\nUsers are recommended to upgrade to version 4.22.1, which fixes the issue."
    }
  ],
  "lastModified": "2026-10-15T19:17:13.957",
  "sourceIdentifier": "security@apache.org"
}