‹ Volver al listado

CVE-2026-85254

Estado: Pendiente de análisisMedia (6.5)—PoC
Gravedad6.5Media · CVSS 3.1
Probabilidad de explotación0.36 %mayor que el 28 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

Vulnerabilidad de manejo incorrecto de la distinción entre mayúsculas y minúsculas en el componente HTTP de Apache Camel Platform.

Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.

La protección que impide que un encabezado de la petición se refleje en la respuesta comparaba los nombres de los encabezados distinguiendo entre mayúsculas y minúsculas, mientras que los nombres de los encabezados HTTP no distinguen entre ellas.

Leer descripción completaMostrar menos

Por tanto, un cliente podía eludir la supresión simplemente variando la capitalización del nombre del encabezado. HTTP/2 convierte el problema en incondicional en lugar de opcional: el protocolo exige que los nombres de los encabezados vayan en minúsculas en la red, de modo que la comparación nunca coincidía y la supresión no surtía efecto en ninguna petición sobre una conexión HTTP/2. La consecuencia es que el contenido elegido por el cliente se devuelve en la respuesta, lo que sirve de base para ataques de tipo response splitting y cache poisoning contra cualquier elemento situado delante del endpoint de Camel.

Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de las versiones LTS de la rama 4.18.x deben actualizar a la 4.18.5. Los usuarios de las versiones LTS de la rama 4.22.x deben actualizar a la 4.22.1. Los nombres de los encabezados de la petición ahora se comparan sin distinguir entre mayúsculas y minúsculas, de modo que la supresión se mantiene independientemente de la capitalización y funciona con HTTP/2. En los despliegues que no puedan actualizarse de inmediato, elimine los encabezados en cuestión delante del endpoint de Camel, o retírelos de la respuesta en la ruta en lugar de depender de la supresión integrada.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
6.5
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.36 %
Percentil entre todas las CVEs puntuadas
28
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El vector CVSS es AV:N/PR:N/UI:N y el texto describe que el contenido elegido por el llamante se refleja en la respuesta, base de ataques de response splitting y cache poisoning.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Network SegmentationVulnerability ScanningRestrict File and Directory PermissionsPrivileged Account ManagementRemote Data StorageLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CamelAI

CWE

Referencias

Mostrar las 5 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-85254",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-85254",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-19T16:48:28.484546Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@apache.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache Camel",
          "versions": [
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "affected",
              "version": "4.19.0",
              "lessThan": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.23.0",
              "versionType": "maven"
            }
          ],
          "packageURL": "pkg:maven/org.apache.camel/camel-platform-http",
          "packageName": "org.apache.camel:camel-platform-http",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-19T11:17:23.553",
  "references": [
    {
      "url": "https://camel.apache.org/security/CVE-2026-85254.html",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25831",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25940",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25942",
      "source": "security@apache.org"
    },
    {
      "url": "https://issues.apache.org/jira/browse/CAMEL-24453",
      "source": "security@apache.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-178"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Improper Handling of Case Sensitivity vulnerability in Apache Camel Platform HTTP component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nThe guard that prevents a request header being reflected into the response compared header names case sensitively, while HTTP header names are case insensitive. A caller could therefore defeat the suppression simply by varying the case of the header name. HTTP/2 makes the problem unconditional rather than optional: the protocol requires header names to be lowercase on the wire, so the comparison never matched and the suppression was inert for every request on an HTTP/2 connection. The consequence is that content the caller chose is echoed back in the response, which is the basis for response-splitting and cache-poisoning style attacks against whatever sits in front of the Camel endpoint.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. Request header names are now compared case insensitively, so the suppression holds regardless of casing and works under HTTP/2. For deployments that cannot upgrade immediately, strip the headers in question in front of the Camel endpoint, or remove them from the response in the route rather than relying on the built-in suppression."
    }
  ],
  "lastModified": "2026-10-19T20:45:51.597",
  "sourceIdentifier": "security@apache.org"
}