CVE-2026-80312

Zusammenfassung

Schwachstelle durch unsachgemäße Authentifizierung in der OAuth-Komponente von Apache Camel. Dieses Problem betrifft Apache Camel: von 4.11.0 bis vor 4.18.5, von 4.19.0 bis vor 4.22.1. Die camel-oauth-Prozessoren, die eine Route absichern, stoppten den Exchange nicht, wenn die Authentifizierung nicht abgeschlossen werden konnte. Wo ein Fehlschlag beim Aufbau einer authentifizierten Sitzung das Routing hätte beenden und einen Fehler an den Aufrufer hätte zurückgeben müssen, fielen die Prozessoren durch und gaben die Kontrolle an die Route zurück, sodass die Anfrage weiter zum geschützten Endpunkt lief, als wäre die Authentifizierung erfolgreich gewesen. Die Auswirkung ist eine fail-open-Authentifizierungsabsicherung: Ein nicht authentifizierter Aufrufer erreichte, was auch immer die Route als Nächstes tat. Die Bedingung wird auf dem normalen Anforderungspfad einer Route erreicht, die für die Anforderung von OAuth konfiguriert ist, und erfordert weder eine besondere Konfiguration noch vorherigen Zugriff seitens des Aufrufers. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Die Prozessoren stoppen nun den Exchange und setzen den entsprechenden Fehlerstatus, wann immer eine authentifizierte Sitzung nicht aufgebaut werden kann, sodass eine fehlgeschlagene Authentifizierung nicht mehr den geschützten Teil der Route erreicht. Für Bereitstellungen, die nicht sofort aktualisiert werden können, platzieren Sie eine explizite Autorisierungsprüfung nach dem OAuth-Prozessor, anstatt sich darauf zu verlassen, dass dieser den Exchange anhält, und stellen Sie sicher, dass die Route bei einem Fehler stoppt.

Quellen

• CVE-2026-80312PoC

  Lauffähiger Proof-of-Concept für CVE-2026-80312, eine Fail-Open-OAuth-Absicherung in Apache Camel camel-oauth, mit betroffenen und korrigierten Spring-Boot- und Quarkus-Reproducern.