CVE-2026-85317

Resumen

Vulnerabilidad de uso de caché que contiene información sensible en el componente HTTP de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 hasta antes de 4.18.5, desde 4.19.0 hasta antes de 4.22.1. La caché de tokens del cliente OAuth2 es global para la JVM, y su clave omitía varios de los campos que determinan qué autoriza realmente un token: el scope solicitado, el indicador de recurso y el endpoint de token desde el que se obtuvo el token. Por lo tanto, dos endpoints que difirieran solo en esos campos compartían una entrada de caché, y a un endpoint se le podía servir un token emitido para un scope diferente, un recurso diferente o por un servidor de autorización diferente. La consecuencia es una solicitud que porta una autoridad más amplia que aquella para la que el endpoint estaba configurado, o un token presentado a una parte para la que no fue emitido. Alcanzarla requiere un despliegue que configure más de un endpoint OAuth2 que difiera exactamente en esos campos, razón por la cual la severidad se evalúa como baja. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. La clave de caché ahora incluye todos los campos que conforman el token, por lo que las entradas ya no se comparten entre endpoints que difieran en cualquiera de ellos. Para los despliegues que no puedan actualizar de inmediato, ejecute los endpoints que difieran en scope, indicador de recurso o endpoint de token en JVM separadas para que no compartan la caché.

Fuentes

• CVE-2026-85317PoC

  Prueba de concepto ejecutable de Spring Boot que reproduce CVE-2026-85317, donde la caché de tokens OAuth2 de camel-http ignora el scope, el recurso y el endpoint de tokens, además de un control parcheado.