Apache Camel es un framework de integración de código abierto utilizado para enrutar y procesar mensajes. Proporciona una variedad de componentes para facilitar diversas integraciones, incluido el componente camel-exec, que permite la ejecución de comandos. Todos los componentes HTTP conocidos de Camel, como camel-servlet, camel-jetty, camel-undertow, camel-platform-http y camel-netty-http, son vulnerables por defecto. Recientemente se han descubierto vulnerabilidades de seguridad en múltiples versiones de Apache Camel, que podrían exponer a las aplicaciones a ataques de ejecución remota de código (RCE). Las organizaciones que utilizan versiones vulnerables deben actuar de inmediato para mitigar estos riesgos.
| Producto | Jetty – Apache Camel |
| Fecha | 2025-03-18 11:29:24 |
| Información |
|
Resumen técnico
Se han identificado dos vulnerabilidades críticas en el componente Exec de Apache Camel:
CVE-2025-27636: Omisión de filtros mediante encabezados que no distinguen entre mayúsculas y minúsculas
Apache Camel filtra ciertos encabezados para evitar la ejecución no autorizada de comandos. Sin embargo, debido a un manejo inadecuado de la distinción entre mayúsculas y minúsculas, un atacante puede omitir estas restricciones enviando encabezados con diferentes combinaciones (ej. CAmelExecCommandExecutable). Esto les permite sobrescribir los comandos estáticos predefinidos y ejecutar comandos de sistema arbitrarios.
Ejemplo de explotación:
Un atacante puede sobrescribir la ejecución del comando estático utilizando una solicitud especialmente diseñada:
curl "http://target-site.com/vulnerable" --header "CAmelExecCommandExecutable: ls"
El servidor ejecutará ls en lugar del comando previsto.
CVE-2025-29891: Inyección de parámetros en la consulta
Una vulnerabilidad separada pero relacionada permite a los atacantes insertar comandos de ejecución a través de parámetros en la consulta, eludiendo los mecanismos de filtrado previstos. Al especificar el parámetro CAmelExecCommandExecutable, un atacante puede inyectar comandos arbitrarios en el flujo de ejecución.
Ejemplo de explotación:
curl "http://target-site.com/vulnerable?CAmelExecCommandExecutable=ls"
Esto conlleva la ejecución arbitraria de comandos en el backend, exponiendo al sistema a graves riesgos de seguridad.
Recomendaciones
Para mitigar estas vulnerabilidades, los usuarios afectados deben:
- Actualizar Apache Camel: Asegurarse de que la instalación esté actualizada a la versión 4.10.2 para 4.10.x LTS, 4.8.5 para 4.8.x LTS o 3.22.4 para las versiones 3.x.
- Implementar reglas WAF (Web Application Firewall): Bloquear encabezados y parámetros de consulta sospechosos relacionados con
CamelExecCommandExecutable. - Limitar los permisos de ejecución: Permitir la capacidad de ejecutar comandos solo donde sea estrictamente necesario.
- Monitorear registros y alertas: Inspeccionar regularmente los registros para detectar patrones inusuales de ejecución de comandos y configurar alertas para posibles intentos de explotación.
[Callforaction-THREAT-Footer]