Os alertas de segurança do Apache Camel documentam vulnerabilidades críticas e de alta gravidade que podem permitir execução remota de código, contorno de autenticação, exposição de credenciais e acesso não autorizado a arquivos.
Esses problemas afetam diversos componentes de integração e o Camel K, e sua possibilidade de exploração depende dos componentes implantados, das configurações de rotas e do acesso de um atacante a mensagens ou à infraestrutura.
As vulnerabilidades envolvem desserialização insegura em Java, aplicação insuficiente de autenticação, metadados de roteamento não confiáveis e injeção de configuração do Kubernetes.
Cada alerta descreve uma exposição distinta que exige avaliação específica de cada componente. Eles não representam um ataque universal aplicável a todas as implantações do Camel.
Vulnerabilidades do Apache Camel
A tabela a seguir apresenta alertas selecionados de gravidade crítica e alta. Os intervalos de versões usam limites inferiores inclusivos e limites superiores exclusivos. Os rótulos de gravidade seguem as diretrizes de segurança da Apache.
A desserialização representa um risco direto de execução de código quando consumidores vulneráveis processam objetos controlados por atacantes. Por exemplo, na falha identificada como CVE-2026-78165 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), o JdkSerializationRedisSerializer padrão processa cargas do Redis sem um ObjectInputFilter.
Um atacante que consiga publicar no canal assinado poderia alcançar a execução dentro do processo do Camel. De forma semelhante, a vulnerabilidade do JGroups envolve desserialização insegura de mensagens de cluster.
Falhas na autenticação também criam vulnerabilidades. A CVE-2026-80312 permite que processadores OAuth (protocolo de autorização aberta) devolvam o controle a uma rota, em vez de interromper a execução quando a autenticação falha. Como resultado, requisições que falham na autenticação ainda podem avançar pela aplicação.
O roubo de dados pode ocorrer sem execução de código. A CVE-2026-78164 resolve placeholders de propriedades em cabeçalhos de substituição de endpoint fornecidos pelas mensagens, o que pode expor valores de configuração e segredos de cofres em requisições de saída.
Além disso, a CVE-2026-85251 reanexa cabeçalhos Authorization a destinos redirecionados quando a opção followRedirects está habilitada. Isso permite que um servidor remoto determine qual host recebe as credenciais.
A remediação deve começar pela identificação dos componentes afetados e pela escolha das versões corrigidas para cada linha de produto. O Camel K exige atualizações próprias, pois correções do framework não substituem as necessárias para o operador.
As equipes também devem revisar as permissões de publicação, o comportamento de redirecionamento e os cabeçalhos de mensagens não confiáveis, conforme os pré-requisitos de cada alerta. Priorize as rotas em que entradas externas podem chegar a consumidores vulneráveis, processadores de autenticação ou produtores HTTP (Protocolo de Transferência de Hipertexto) de saída.
