Apache Camel ha lanzado correcciones para múltiples fallos de seguridad, incluyendo vulnerabilidades XXE (Entidades Externas XML) de alta severidad que podrían exponer archivos locales o acceder a sistemas internos. Los problemas afectan a varios componentes y presentan riesgos que van desde el procesamiento inseguro de XML hasta la ejecución remota de código, el robo de credenciales y fallos en las comprobaciones de acceso. Apache ya ha publicado las versiones parcheadas para cada componente afectado.

Apache Camel ha lanzado correcciones para múltiples fallos de seguridad, incluidas vulnerabilidades de Entidades Externas XML (XXE) de gravedad alta que podrían exponer archivos locales o alcanzar sistemas internos.

Los problemas afectan a varios componentes, con riesgos que van desde el procesamiento de XML inseguro hasta la ejecución remota de código, el robo de credenciales y fallos en las comprobaciones de acceso.

Los avisos de seguridad de Apache enumeran las versiones parcheadas para cada rama afectada. Las correcciones cubren diferentes partes de Camel, por lo que la exposición depende de los componentes y la configuración que utilice tu aplicación.

Tu equipo debería comprobar las versiones desplegadas consultando los avisos individuales en lugar de asumir que todas las aplicaciones de Camel enfrentan el mismo riesgo. Varios fallos requieren que mensajes controlados por el atacante lleguen a una ruta de procesamiento específica.

Un problema significativo, el CVE-2026-90885, afecta a Camel-Saxon. Su XQueryBuilder procesaba cuerpos de mensajes ya representados como objetos javax.xml.transform.Source utilizando la configuración predeterminada del analizador de Saxon. Esto permitía que una entidad externa declarada dentro del cuerpo XML fuera resuelta, creando una debilidad XXE en esa ruta de procesamiento.

Según el aviso de Camel-Saxon de Apache, este problema es independiente del CVE-2026-85250 en Camel-XPath. El fallo de XPath aparece cuando documentType=InputSource pasa la carga útil a un motor que construye su propio analizador utilizando los valores predeterminados del JDK. Por lo tanto, las declaraciones XML bloqueadas por el tipo de documento predeterminado podrían aceptarse a través de esta ruta alternativa.

Apache Camel corrige múltiples vulnerabilidades

Un tercer problema de gravedad alta, el CVE-2026-88901, afecta a Camel-Smooks. Su lector de XML predeterminado resolvía entidades generales y de parámetros externas y cargaba definiciones de tipos de documentos externos.

En consecuencia, un mensaje XML controlado por un atacante podría leer archivos locales o contactar con hosts internos. Camel-FOP también recibió una corrección XXE de gravedad media por el manejo inseguro cuando estaban presentes ciertas implementaciones de transformadores XML de terceros.

La actualización más amplia incluye el CVE-2026-88900, un fallo de deserialización de Java insegura de gravedad alta en Camel-JGroups que puede conducir a la ejecución remota de código.

Otro problema de gravedad alta, el CVE-2026-78165, afecta a Camel-Spring-Redis. Un atacante que pueda publicar en un canal suscrito podría explotar su deserializador predeterminado, que carece de un filtro de entrada de objetos.

Camel-HTTP también contiene un problema de divulgación de credenciales de gravedad alta rastreado como CVE-2026-85251. Cuando followRedirects estaba habilitado, el componente adjuntaba la cabecera de Autorización al destino indicado por una redirección, permitiendo que un servidor remoto eligiera a dónde se enviaban esas credenciales. Otras correcciones abordan la omisión de autenticación OAuth y debilidades en la validación de tokens de Keycloak.

Estos hallazgos siguen a la cobertura anterior sobre la inyección de cabeceras de Apache Camel y los ataques dirigidos a las vulnerabilidades de Tomcat y Camel. Aquellos informes se refieren a fallos más antiguos y no deben tratarse como evidencia de que los problemas recién enumerados estén siendo explotados.

Para el fallo de Saxon, Apache enumera correcciones en las versiones 4.18.5, 4.22.2 y 4.23.0. Apache corrigió los problemas de XPath y Smooks en 4.18.5, 4.22.1 y 4.23.0.

Si decides realizar una actualización, debes tener en cuenta la corrección posterior de Saxon en lugar de detenerte en la 4.22.1. Revisa los componentes XML desplegados, los puntos de entrada de mensajes y la configuración de redireccionamiento durante la planificación del parche.

Utiliza los rangos de versiones específicos de cada componente de Apache para confirmar la cobertura, especialmente donde se empaqueten múltiples librerías de Camel dentro de una sola aplicación.