CVE-2026-84178

Zusammenfassung

Cross-Site-Request-Forgery-(CSRF)-Schwachstelle in der OAuth-Komponente von Apache Camel. Dieses Problem betrifft Apache Camel: von 4.11.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Der Authorization-Code-Callback enthielt keinen state-Parameter, der ihn an die Autorisierungsanfrage band, die den Ablauf gestartet hatte, und der Callback verifizierte einen solchen auch nicht. Ein in einem beliebigen Browser erhaltener Authorization Code konnte daher am Callback eingelöst und derjenigen Sitzung zugeordnet werden, die ihn übermittelte – dies ist Login-Cross-Site-Request-Forgery: Ein Opfer kann stillschweigend als eine vom Angreifer kontrollierte Identität angemeldet werden, sodass die vom Opfer anschließend ausgeführten Aktionen und die von ihm übermittelten Daten im Konto des Angreifers landen. Dieselbe unvalidierte Callback-Verarbeitung erlaubte es zudem, das Ziel der Weiterleitung nach der Authentifizierung zu beeinflussen, was eine offene Weiterleitung von einer vertrauenswürdigen Origin ermöglicht. Die state-Prüfung erfolgt, bevor der Authorization Code eingelöst wird, sodass diese Pfade ohne jegliche Interaktion mit dem Identity Provider erreichbar sind. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Nutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Nutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Die Autorisierungsanfrage gibt nun einen an die Sitzung gebundenen state-Wert aus, und der Callback lehnt eine Anfrage ab, deren state fehlt oder nicht übereinstimmt, und beendet die Route mit einer 400-Antwort. Für Deployments, die nicht sofort aktualisiert werden können, beenden Sie den Authorization-Code-Ablauf in einer Komponente, die ihre eigene state-Bindung durchführt, anstatt sich auf den Camel-Callback zu verlassen. Beachten Sie, dass ein Deployment hinter einem Proxy, der die Callback-Query-String verwirft oder umschreibt, nach dem Upgrade 400-Antworten zu sehen beginnt, da der state-Parameter den Roundtrip überstehen muss.

Quellen

• CVE-2026-84178PoC