CVE-2026-80312

ملخص

ثغرة المصادقة غير السليمة في مكوّن Apache Camel OAuth. تؤثر هذه المشكلة على Apache Camel: من 4.11.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. لم تكن معالجات camel-oauth التي تحمي المسار توقف التبادل عندما يتعذّر إكمال المصادقة. وحيث كان ينبغي لفشل إنشاء جلسة موثّقة أن ينهي التوجيه ويعيد خطأً إلى المستدعي، فإن المعالجات كانت تمرّ دون اعتراض وتعيد التحكم إلى المسار، فاستمر الطلب إلى نقطة النهاية المحمية كما لو أن المصادقة نجحت. الأثر هو حارس مصادقة ينفتح عند الفشل (fail-open): وصل المستدعي غير الموثّق إلى ما يفعله المسار تالياً. تُبلَغ هذه الحالة على مسار الطلب العادي لمسار مُهيّأ ليتطلب OAuth، ولا تحتاج إلى أي تهيئة خاصة أو وصول مسبق من جانب المستدعي. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. أصبحت المعالجات الآن توقف التبادل وتضبط حالة الخطأ المناسبة كلما تعذّر إنشاء جلسة موثّقة، بحيث لم تعد المصادقة الفاشلة تصل إلى الجزء المحمي من المسار. بالنسبة إلى عمليات النشر التي لا يمكنها الترقية فوراً، ضع فحص تفويض صريحاً بعد معالج OAuth بدلاً من الاعتماد عليه لإيقاف التبادل، وتحقق من أن المسار يتوقف عند الفشل.

المصادر

• CVE-2026-80312PoC

  إثبات مفهوم قابل للتشغيل لـ CVE-2026-80312، وهو حارس OAuth من نوع fail-open في Apache Camel camel-oauth، مع نسخ إعادة إنتاج متأثرة ومُصلحة لكل من Spring Boot وQuarkus.