CVE-2026-85254

Apache Camel Platform HTTP komponentində böyük və kiçik hərflərə qarşı həssaslığın yanlış idarə edilməsi zəifliyi. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.0.0-dan 4.18.5-ə qədər, 4.19.0-dan 4.22.1-ə qədər. Sorğu başlığının cavaba əks olunmasının qarşısını alan mühafizə mexanizmi başlıq adlarını böyük və kiçik hərfləri fərqləndirməklə müqayisə edirdi, halbuki HTTP başlıq adları böyük və kiçik hərflərdən asılı olmayaraq eynidir. Buna görə də çağırıcı sadəcə başlıq adındakı hərflərin registrini dəyişməklə bu məhdudiyyəti keçə bilərdi. HTTP/2 bu problemi seçimdən çıxarıb mütləq hala gətirmişdir: protokol şəbəkə üzərində başlıq adlarının kiçik hərflərlə yazılmasını tələb edir, buna görə də müqayisə heç vaxt uyğun gəlmir və HTTP/2 bağlantısındakı hər bir sorğu üçün məhdudiyyət effektiv olmurdu. Nəticədə, çağırıcının seçdiyi məzmun cavabda geri qaytarılır ki, bu da Camel son nöqtəsinin (endpoint) qarşısında yerləşən hər hansı sistemə qarşı response-splitting və cache-poisoning tipli hücumlar üçün əsas yaradır. Problemi aradan qaldıran Apache Camel 4.23.0 versiyasına yeniləyin. 4.18.x LTS versiyalarını istifadə edən istifadəçilər 4.18.5 versiyasına, 4.22.x LTS versiyalarını istifadə edən istifadəçilər isə 4.22.1 versiyasına yeniləməlidir. Artıq sorğu başlıqlarının adları böyük və kiçik hərflərə baxılmadan müqayisə edilir, beləliklə, məhdudiyyət registrdən asılı olmayaraq qüvvədə qalır və HTTP/2 altında işləyir. Təcili yenilənməsi mümkün olmayan tətbiqlər üçün daxili məhdudiyyətə güvənmək əvəzinə, sözügedən başlıqları Camel son nöqtəsindən əvvəl təmizləyin və ya marşrutda onları cavabdan çıxarın.