CVE-2026-80343
Vulnerabilidad de gestión inadecuada de la distinción entre mayúsculas y minúsculas en el componente Netty HTTP de Apache Camel.
Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.
La restricción de seguridad de camel-netty-http comparaba la ruta de la solicitud con la ruta de contexto configurada mediante una coincidencia sensible a mayúsculas y minúsculas, mientras que el enrutamiento que envía la solicitud al endpoint no aplicaba la misma regla.
Leer descripción completaMostrar menos
Por tanto, las dos comparaciones no coincidían en cualquier ruta cuyas mayúsculas y minúsculas difirieran del valor configurado. Un llamante externo podía alterar la capitalización de un carácter de un segmento de la ruta para que la restricción de seguridad no reconociera la ruta como protegida, mientras la solicitud seguía enviándose al mismo endpoint. El resultado es que la restricción se omite y se llega a la ruta protegida sin cumplirla. No se requiere ninguna credencial, acceso previo ni configuración especial, más allá de poder enviar una solicitud al consumidor.
Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de las versiones LTS de la serie 4.18.x deben actualizar a la 4.18.5. Los usuarios de las versiones LTS de la serie 4.22.x deben actualizar a la 4.22.1. La restricción ahora compara la ruta de la solicitud con las mismas reglas de distinción de mayúsculas y minúsculas que usa el enrutamiento, por lo que ya no pueden discrepar. Para despliegues que no puedan actualizarse de inmediato, sitúe la decisión de autorización delante del consumidor de Camel, por ejemplo en un proxy inverso que normalice la ruta de la solicitud antes de reenviarla.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 8.2
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.45 %
- Percentil entre todas las CVEs puntuadas
- 38
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access95 %
Vector AV:N/PR:N/UI:N y el texto indica que un atacante externo evita la restricción de seguridad alterando mayúsculas en la ruta y llega a la ruta protegida sin credenciales.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-178
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-80343",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-80343",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "yes"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T18:44:18.328037Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 8.2,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N",
"integrityImpact": "LOW",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
},
"impactScore": 4.2,
"exploitabilityScore": 3.9
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.0.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-netty-http",
"packageName": "org.apache.camel:camel-netty-http",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:21.223",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-80343.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25578",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25761",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25762",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24412",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-178"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Improper Handling of Case Sensitivity vulnerability in Apache Camel Netty HTTP component.\n\n\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\n\n\nThe camel-netty-http security constraint compared the request path against the configured context path using a case-sensitive match, while the routing that dispatches the request to the endpoint did not apply the same rule. The two comparisons therefore disagreed for any path whose case differed from the configured value. An external caller could alter the case of a character in a path segment so that the security constraint no longer recognised the path as protected, while the request still dispatched to the same endpoint. The result is that the constraint is skipped and the protected route is reached without satisfying it. No credential, prior access or special configuration is required beyond being able to send a request to the consumer.\n\n\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The constraint now matches the request path with the same case rules the dispatch uses, so the two can no longer disagree. For deployments that cannot upgrade immediately, place the authorization decision in front of the Camel consumer, for example in a reverse proxy that normalises the request path before forwarding."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}