CVE-2026-80312
AltoPublicado
Apache Camel: omisión de autenticación en Camel-OAuth mediante procesadores fail-open
- Publicado
- 19 oct 2026
- Actualizado
- 19 oct 2026
- Asignación de CNA
- apache
- Evidencia observada
- 18 oct 2026
CVSS primario
8,2/ 10Alto
Apache Camel: omisión de autenticación en Camel-OAuth mediante procesadores fail-open
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:NVulnerabilidad de autenticación incorrecta en el componente OAuth de Apache Camel. Este problema afecta a Apache Camel: desde 4.11.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. Los procesadores camel-oauth que protegen una ruta no detenían el exchange cuando no se podía completar la autenticación. Cuando un fallo al establecer una sesión autenticada debería haber terminado el enrutamiento y devuelto un error al llamador, los procesadores continuaban y devolvían el control a la ruta, por lo que la solicitud continuaba hacia el endpoint protegido como si la autenticación hubiera tenido éxito. El efecto es una protección de autenticación fail-open: un llamador no autenticado alcanzaba cualquier cosa que la ruta hiciera a continuación. La condición se alcanza en la ruta de solicitud ordinaria de una ruta configurada para requerir OAuth, y no necesita ninguna configuración especial ni acceso previo por parte del llamador. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Los procesadores ahora detienen el exchange y establecen el estado de error adecuado siempre que no se pueda establecer una sesión autenticada, por lo que una autenticación fallida ya no alcanza la parte protegida de la ruta. Para las implementaciones que no puedan actualizar de inmediato, coloque una comprobación de autorización explícita después del procesador OAuth en lugar de confiar en que este detenga el exchange, y verifique que la ruta se detiene en caso de fallo.
Prueba de concepto ejecutable para CVE-2026-80312, una protección OAuth de tipo fail-open en Apache Camel camel-oauth, con reproductores afectados y corregidos de Spring Boot y Quarkus.
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.