‹ Volver al listado

CVE-2026-85312

Estado: Pendiente de análisisMedia (4.8)—PoC
Gravedad4.8Media · CVSS 3.1
Probabilidad de explotación0.31 %mayor que el 23 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

Vulnerabilidad de validación de entrada inadecuada en el componente Apache Camel Core.

Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.

El procesador de sagas consultaba una cabecera llamada Long-Running-Action para decidir a qué saga pertenecía un exchange. Este nombre no lleva el prefijo de Camel, por lo que queda fuera del espacio de nombres que bloquean los filtros de cabeceras de los consumidores, y un remitente externo podía proporcionarla en un mensaje entrante.

Leer descripción completaMostrar menos

Esto permitía al remitente indicar la saga a la que se unía el exchange, asociando su petición a una acción de larga duración iniciada por otra persona, o haciendo que una compensación quedara asociada a una acción que no había iniciado. La cabecera solo se consulta en un servicio de sagas que la utiliza, lo que limita la exposición a los despliegues que ejecutan sagas sobre un coordinador LRA.

Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de las ramas LTS 4.18.x deben actualizar a la 4.18.5. Los usuarios de las ramas LTS 4.22.x deben actualizar a la 4.22.1. La cabecera ahora solo se consulta para un servicio de sagas que realmente la utiliza, en lugar de hacerlo en todos los exchanges. En los despliegues que no puedan actualizarse de inmediato, elimine la cabecera en la frontera de confianza con removeHeaders("Long-Running-Action") en todos los consumidores que acepten mensajes de un remitente no confiable.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
4.8
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.31 %
Percentil entre todas las CVEs puntuadas
23
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N permite explotar sin autenticación una cabecera no filtrada en mensajes entrantes; el atacante asocia peticiones a sagas ajenas, lo que altera datos de transacciones.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Network SegmentationVulnerability ScanningRestrict File and Directory PermissionsPrivileged Account ManagementRemote Data StorageLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CamelAI

CWE

Referencias

Mostrar las 5 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-85312",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-85312",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-19T14:33:54.394645Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@apache.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 4.8,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache Camel",
          "versions": [
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "affected",
              "version": "4.19.0",
              "lessThan": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.23.0",
              "versionType": "maven"
            }
          ],
          "packageURL": "pkg:maven/org.apache.camel/camel-core",
          "packageName": "org.apache.camel:camel-core",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-19T11:17:24.427",
  "references": [
    {
      "url": "https://camel.apache.org/security/CVE-2026-85312.html",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25828",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25940",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25942",
      "source": "security@apache.org"
    },
    {
      "url": "https://issues.apache.org/jira/browse/CAMEL-24449",
      "source": "security@apache.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-20"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Improper Input Validation vulnerability in Apache Camel Core component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nThe saga processor consulted a header named Long-Running-Action to decide which saga an exchange belonged to. The name carries no Camel prefix, so it sits outside the namespace that consumer header filters block, and an external sender could supply it on an inbound message. That let the sender name the saga the exchange joined, attaching their request to a long-running action started by someone else, or causing compensation to be associated with an action they did not initiate. The header is only consulted by a saga service that uses it, which bounds the exposure to deployments running sagas over an LRA coordinator.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The header is now consulted only for a saga service that actually uses it, rather than on every exchange. For deployments that cannot upgrade immediately, strip the header at the trust boundary with removeHeaders(\"Long-Running-Action\") on every consumer that accepts messages from an untrusted sender."
    }
  ],
  "lastModified": "2026-10-19T20:45:51.597",
  "sourceIdentifier": "security@apache.org"
}